Fallos del tipo CWE-862

8515 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2020-10689MEDIUMA flaw was found in the Eclipse Che up to version 7.8.x, where it did not properly restrict access to workspace pods. An authenticated user EPSS 0.8%CVE-2022-41417CRITICALBlogEngine.NET v3.3.8.0 allows an attacker to create any folder with "files" prefix under ~/App_Data/.EPSS 0.8%CVE-2025-22609CRITICALCoolify Vulnerable to Private Key Hijacking / Remote Command Execution (RCE)EPSS 0.8%CVE-2024-8001MEDIUMVIWIS LMS Print authorizationEPSS 0.8%CVE-2022-36068HIGHDiscourse moderators can edit themes via the APIEPSS 0.8%CVE-2021-41112HIGHMissing Authorization in RundeckEPSS 0.7%CVE-2025-21416HIGHAzure Virtual Desktop Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2023-34463HIGHUnauthorized users can delete applications in DataEaseEPSS 0.7%CVE-2025-6380CRITICALONLYOFFICE Docs 1.1.0 - 2.2.0 - Missing Authorization to Unauthenticated Privilege Escalation via callback FunctionEPSS 0.7%CVE-2023-49980HIGHA directory listing vulnerability in Best Student Result Management System v1.0 allows attackers to list directories and sensitive files witEPSS 0.7%CVE-2023-33948MEDIUMThe Dynamic Data Mapping module in Liferay Portal 7.4.3.67, and Liferay DXP 7.4 update 67 does not limit Document and Media files which can EPSS 0.7%CVE-2022-45410MEDIUMWhen a ServiceWorker intercepted a request with <code>FetchEvent</code>, the origin of the request was lost after the ServiceWorker took ownEPSS 0.7%CVE-2022-35293CRITICALDue to insecure session management, SAP Enable Now allows an unauthenticated attacker to gain access to user's account. On successful exploiEPSS 0.7%CVE-2024-6760HIGHktrace(2) fails to detach when executing a setuid binaryEPSS 0.7%CVE-2021-42848MEDIUMAn information disclosure vulnerability was reported in some Lenovo Personal Cloud Storage devices that could allow an unauthenticated user EPSS 0.7%CVE-2023-4374MEDIUMWP Remote Users Sync <= 1.2.11 - Missing Authorization to Authenticated (Subscriber+) Log ViewEPSS 0.7%CVE-2026-27181HIGHMajorDoMo Unauthenticated Module Uninstall via Market EndpointEPSS 0.7%CVE-2023-37967MEDIUMWordPress DirectoryPress plugin <= 3.6.2 - Unauthenticated Broken Access Control VulnerabilityEPSS 0.7%CVE-2020-36712HIGHKali Forms <= 2.1.1 - Unauthenticated Arbitrary Post DeletionEPSS 0.7%CVE-2023-3125MEDIUMB2BKing <= 4.6.00 - Missing Authorization to Authenticated(Subscriber+) Price ModificationEPSS 0.7%