Fallos del tipo CWE-862

8626 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-32781MEDIUMApollo: Apollo Portal release endpoint allows cross-application configuration disclosure via releaseIdEPSS 0.4%CVE-2026-57774MEDIUMWordPress VW Food Corner theme <= 1.1.0 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-49991HIGHRustFS Snowball Auto-Extract: Path Traversal allows cross-bucket object injectionEPSS 0.4%CVE-2026-57776MEDIUMWordPress VW Wedding theme <= 1.3.7 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-64662MEDIUMStatamic: Missing authorization on navigation endpoint allows disclosure of restricted entriesEPSS 0.4%CVE-2026-84204HIGHGROWI through 8.0.2 Missing Authorization on apiv3 Attachment RetrievalEPSS 0.4%CVE-2026-59262HIGHAFFiNE - Unauthorized Document Edit History Access via GraphQL histories FieldEPSS 0.4%CVE-2026-91994HIGHSemaphore UI through 2.19.12 Missing Authorization on GET and HEAD RequestsEPSS 0.4%CVE-2024-1844MEDIUMRevivePress – Keep your Old Content Evergreen <= 1.5.6 - Missing AuthorizationEPSS 0.4%CVE-2026-58167HIGHNightingale < 9.0.0-beta.2 - Datasource Credential Disclosure to Low-Privilege UsersEPSS 0.4%CVE-2023-32574MEDIUMWordPress Injection Guard plugin <= 1.2.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-63003MEDIUMdjango CMS: Broken access control in page *Duplicate* allows reading the content of any page (cross-site / restriction bypass)EPSS 0.4%CVE-2024-49680MEDIUMWordPress WP VR plugin <= 8.5.5 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-2720MEDIUMHr Press Lite <= 1.0.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Employee Information ExposureEPSS 0.4%CVE-2026-54509MEDIUMTREK IDOR: any authenticated user can read another user's journey share token (full journey leak)EPSS 0.4%CVE-2026-3098MEDIUMSmart Slider 3 <= 3.5.1.33 - Authenticated (Subscriber+) Arbitrary File Read via actionExportAllEPSS 0.4%CVE-2023-49849MEDIUMWordPress Shortcoder plugin <= 6.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-9132MEDIUMMissing authorization vulnerability in GitHub Enterprise Server allowed disclosure of private repository contents via the Copilot pull request diff summary endpointEPSS 0.4%CVE-2023-49861MEDIUMWordPress Social Media Feather plugin <= 2.1.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2020-36840HIGHTimetable and Event Schedule by MotoPress <= 2.3.8 - Missing AuthorizationEPSS 0.4%