L'esecuzione di codice senza autenticazione è una vulnerabilità che consente a un attaccante di eseguire codice su un sistema senza prima dimostrare la propria identità. In altre parole, l'azione pericolosa avviene prima del login, quindi i normali controlli di accesso non bloccano la richiesta.
Questo è importante perché l'autenticazione è una delle principali barriere tra un servizio esposto e una compromissione completa. Se un'applicazione esposta su Internet accetta codice scelto dall'attaccante prima dell'autenticazione, l'attaccante può essere in grado di installare malware, sottrarre segreti, modificare dati o usare l'host come punto d'appoggio per un'intrusione più profonda. I difensori considerano questo problema di gravità elevata perché spesso può essere sfruttato da remoto e su larga scala, soprattutto quando il servizio vulnerabile è raggiungibile pubblicamente. In pratica, i team di sicurezza cercano patch, disabilitano le funzionalità esposte, limitano l'accesso di rete e monitorano la creazione insolita di processi, l'attività degli script o connessioni in uscita inattese.