Fallos del tipo CWE-862

8470 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2023-3956CRITICALInstaWP Connect <= 0.0.9.18 - Missing Authorization to Unauthenticated Post/Taxonomy/User Add/Change/Delete, Customizer Setting Change, Plugin Installation/Activation/Deactication via events_receiverEPSS 1.0%CVE-2026-54629HIGHAnyquery: Local File Read (LFR) via Unrestricted SQLite Virtual Table Modules in Server ModeEPSS 1.0%CVE-2020-36698HIGHSecurity & Malware scan by CleanTalk <= 2.50 - Missing AuthorizationEPSS 1.0%CVE-2024-54679MEDIUMCyberPanel (aka Cyber Panel) before 6778ad1 does not require the FilemanagerAdmin capability for restartMySQL actions.EPSS 1.0%CVE-2023-39167HIGHSENEC: Storage Box V1,V2 and V3 affected by improper access control vulnerabilityEPSS 1.0%CVE-2024-12848HIGHSKT Page Builder <= 4.6 - Authenticated (Subscriber+) Arbitrary File UploadEPSS 1.0%CVE-2023-2448MEDIUMUserPro <= 5.1.4 - Missing Authorization to Arbitrary Shortcode Execution via userpro_shortcode_templateEPSS 1.0%CVE-2024-22257HIGHIn Spring Security, versions 5.7.x prior to 5.7.12, 5.8.x prior to 5.8.11, versions 6.0.x prior to 6.0.9, versions 6.1.x prior to 6.1.8, vEPSS 1.0%CVE-2026-57206HIGHSimpleChat plugin validation endpoints missing authentication and authorizationEPSS 1.0%CVE-2024-6805HIGHMissing Authorization Checks in NI VeriStand Gateway for File Transfer ResourcesEPSS 1.0%CVE-2021-41238HIGHMissing Authorization with Default Settings in Dashboard UIEPSS 1.0%CVE-2023-0556CRITICALContentStudio <= 1.2.5 - Missing AuthorizationEPSS 1.0%CVE-2023-34063CRITICALAria Automation contains a Missing Access Control vulnerability. An authenticated malicious actor may exploit this vulnerability leading EPSS 0.9%CVE-2022-2732HIGHMissing Authorization in openemr/openemrEPSS 0.9%CVE-2021-4339HIGHuListing <= 1.6.6 - Unauthenticated Information DisclosureEPSS 0.9%CVE-2022-23617MEDIUMMissing authorization in xwiki-platformEPSS 0.9%CVE-2022-31765HIGHAffected devices do not properly authorize the change password function of the web interface. This could allow low privileged users to escaEPSS 0.9%CVE-2024-10486MEDIUMGoogle for WooCommerce <= 2.8.6 - Information Disclosure via Publicly Accessible PHP Info FileEPSS 0.9%CVE-2023-36681MEDIUMWordPress Cryptocurrency Widgets – Price Ticker & Coins List plugin <= 2.6.2 - Broken Access Control vulnerabilityEPSS 0.9%CVE-2026-55052HIGHMicrosoft SharePoint Elevation of Privilege VulnerabilityEPSS 0.9%