Fallos del tipo CWE-262
6 resultadosAutorização ausente
A aplicação executa uma ação sensível (acessar dados, modificar recursos, deletar registros) sem verificar se o usuário tem permissão para fazê-lo. O código valida autenticação (quem é você?) mas ignora autorização (você pode fazer isso?), criando um caminho direto para manipulação não autorizada.
Um endpoint de API que retorna dados de qualquer usuário baseado em ID numérico: GET /api/users/123 não verifica se quem faz a requisição é admin ou é o próprio usuário 123, devolvendo dados sensíveis para qualquer um autenticado.
Implemente verificações de permissão antes de cada ação sensível: defina papéis (roles) e escopos, valide explicitamente se o usuário logado tem direito ao recurso solicitado, e rejeite com status 403 quando a autorização falhar. Use middleware ou decoradores para aplicar controles consistentemente.