Fallos del tipo CWE-862

10.191 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2021-44794MEDIUMInformation Leakege via Unauthorized Access in Single ConnectEPSS 1.0%CVE-2021-44792MEDIUMInformation Leakege via Unauthorized Access in Single ConnectEPSS 1.0%CVE-2021-22896—Nextcloud Mail before 1.9.5 suffers from improper access control due to a missing permission check allowing other authenticated users to creEPSS 1.0%CVE-2022-0163—Smart Forms < 2.6.71 - Subscriber+ Form Data DownloadEPSS 1.0%CVE-2023-50976CRITICALRedpanda before 23.1.21 and 23.2.x before 23.2.18 has missing authorization checks in the Transactions API.EPSS 1.0%CVE-2023-33477MEDIUMIn Harmonic NSG 9000-6G devices, an authenticated remote user can obtain source code by directly requesting a special path.EPSS 1.0%CVE-2024-12848HIGHSKT Page Builder <= 4.6 - Authenticated (Subscriber+) Arbitrary File UploadEPSS 1.0%CVE-2021-32748MEDIUMWOPI API not protected by credentials/IP checkEPSS 1.0%CVE-2024-6500CRITICALInPost for WooCommerce <= 1.4.0 and InPost PL <= 1.4.4 - Missing Authorization to Unauthenticated Arbitrary File Read and DeleteEPSS 1.0%CVE-2024-52382CRITICALWordPress Matix Popup Builder plugin <= 1.0.0 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.0%CVE-2024-50490CRITICALWordPress PegaPoll plugin <= 1.0.2 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.0%CVE-2026-32230MEDIUMUptime Kuma is Missing Authorization Checks on Ping Badge Endpoint, Leaks Ping times of monitors without needing to be on a status pageEPSS 1.0%CVE-2020-3400HIGHCisco IOS XE Software Web UI Authorization Bypass VulnerabilityEPSS 1.0%CVE-2023-50944MEDIUMApache Airflow: Bypass permission verification to read code of other dagsEPSS 1.0%CVE-2023-0556CRITICALContentStudio <= 1.2.5 - Missing AuthorizationEPSS 1.0%CVE-2022-41234HIGHJenkins Rundeck Plugin 3.6.11 and earlier does not protect access to the /plugin/rundeck/webhook/ endpoint, allowing users with Overall/ReadEPSS 1.0%CVE-2022-41228HIGHA missing permission check in Jenkins NS-ND Integration Performance Publisher Plugin 4.8.0.129 and earlier allows attackers with Overall/ReaEPSS 1.0%CVE-2020-5228HIGHOpencast allows unauthorized public access via OAI-PMHEPSS 1.0%CVE-2026-27454MEDIUMDiscourse has check revision visibility on posts endpointEPSS 1.0%CVE-2026-50006CRITICALAnyquery: Arbitrary File Write (AFW) which could lead to Remote Code Execution (RCE) via Unrestricted ATTACH DATABASE in Server ModeEPSS 1.0%