Fallos del tipo CWE-862

10.191 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2022-43421MEDIUMA missing permission check in Jenkins Tuleap Git Branch Source Plugin 3.2.4 and earlier allows unauthenticated attackers to trigger Tuleap pEPSS 0.9%CVE-2021-4331HIGHThe Plus Addons for Elementor PRO <= 4.1.9 & The Plus Addons for Elementor <= 2.0.6 - Authenticated (Contributor+) Privilege EscalationEPSS 0.9%CVE-2023-53740HIGHScreen SFT DAB 1.9.3 Authentication Bypass via Admin Password ChangeEPSS 0.9%CVE-2021-4359MEDIUMFrontend File Manager Plugin <= 18.2 - Unauthenticated Arbitrary Post DeletionEPSS 0.9%CVE-2024-0138CRITICALNVIDIA Base Command Manager contains a missing authentication vulnerability in the CMDaemon component. A successful exploit of this vulnerabEPSS 0.9%CVE-2023-3714HIGHProfileGrid <= 5.5.2 - Missing Authorization to Arbitrary Group Option Modification and Privilege EscalationEPSS 0.9%CVE-2026-4365CRITICALLearnPress <= 4.3.2.8 - Missing Authorization to Unauthenticated Arbitrary Quiz Answer DeletionEPSS 0.9%CVE-2023-51650HIGHUnauthorized access vulnerability on three interfacesEPSS 0.9%CVE-2026-69641CRITICALMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2020-10701—A missing authorization flaw was found in the libvirt API responsible for changing the QEMU agent response timeout. This flaw allows read-onEPSS 0.9%CVE-2024-9756MEDIUMOrder Attachments for WooCommerce 2.0 - 2.4.1 - Missing Authorization to Authenticated (Subscriber+) Limited Arbitrary File UploadEPSS 0.9%CVE-2023-43700HIGHMissing Authorization in RDT400 in SICK APU allows an unprivileged remote attacker to modify data via HTTP requests that no not require authEPSS 0.9%CVE-2021-21255MEDIUMentities switch IDOREPSS 0.9%CVE-2021-40853HIGHTCMAN GIM missing authorization vulnerabilityEPSS 0.9%CVE-2024-8480HIGHImage Optimizer, Resizer and CDN – Sirv <= 7.2.7 - Missing Authorization to Authenticated (Contributor+) Arbitrary File UploadEPSS 0.9%CVE-2022-36091HIGHXWiki Platform Web Templates vulnerable to Missing Authorization and Exposure of Private Personal Information to an Unauthorized ActorEPSS 0.9%CVE-2020-36697HIGHWP GDPR <= 2.1.1 - Missing Authorization ChecksEPSS 0.9%CVE-2025-6380CRITICALONLYOFFICE Docs 1.1.0 - 2.2.0 - Missing Authorization to Unauthenticated Privilege Escalation via callback FunctionEPSS 0.9%CVE-2022-2108MEDIUMWbcom Designs – BuddyPress Group Reviews <= 2.8.3 - Unauthorized AJAX Actions due to Nonce BypassEPSS 0.9%CVE-2019-25217CRITICALSiteGround Optimizer <= 5.0.12 - Missing AuthorizationEPSS 0.9%