Un percorso di exploit autenticato è una via attraverso una vulnerabilità che in genere richiede all’aggressore di accedere con un account valido prima di raggiungere la funzionalità vulnerabile. L’account può avere autorizzazioni limitate; il rischio dipende dalle azioni che l’applicazione consente a quell’utente di eseguire.
Questa distinzione aiuta i responsabili della difesa a valutare l’esposizione: una vulnerabilità può essere più difficile da sfruttare se l’aggressore deve prima ottenere le credenziali, ma l’autenticazione non la rende innocua. Verificate quali utenti possono raggiungere la funzionalità interessata, limitate l’accesso e applicate gli aggiornamenti di sicurezza. Alcune vulnerabilità dispongono anche di un percorso separato non autenticato, quindi non date per scontato che i requisiti di accesso blocchino ogni via. In un CMS, i moduli o il codice personalizzato possono rendere raggiungibile la funzionalità vulnerabile in modi diversi da un sito all’altro.