Fallos del tipo CWE-862

8518 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2024-2086CRITICALIntegrate Google Drive <= 1.3.8 - Missing Authorization to Unauthenticated Settings Modification and ExportEPSS 0.7%CVE-2026-26083CRITICALA missing authorization vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.1, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox Cloud 5.0EPSS 0.7%CVE-2022-46838CRITICALWordPress JS Help Desk plugin <= 2.7.1 - Unauthenticated Settings Change VulnerabilityEPSS 0.7%CVE-2023-22737MEDIUMwire-server vulnerable to unauthorized removal of Bots from ConversationsEPSS 0.7%CVE-2021-4388MEDIUMOpal Estate <= 1.6.11 - Missing AuthorizationEPSS 0.7%CVE-2022-43685HIGHCKAN through 2.9.6 account takeovers by unauthenticated users when an existing user id is sent via an HTTP POST request. This allows a user EPSS 0.7%CVE-2021-4345MEDIUMuListing <= 1.6.6 - Unauthenticated Arbitrary Roles and Capabilities Creation/DeletionEPSS 0.7%CVE-2026-4119CRITICALCreate DB Tables <= 1.2.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Database Table Creation/Deletion via admin-post.phpEPSS 0.7%CVE-2024-45461MEDIUMApache CloudStack Quota plugin: Access checks not enforced in QuotaEPSS 0.7%CVE-2025-13528MEDIUMFeedback Modal for Website <= 1.0.1 - Missing Authorization to Unauthenticated Arbitrary Feedback Data Exfiltration via 'export_data' ParameterEPSS 0.7%CVE-2024-11205HIGHWPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription CancellationEPSS 0.7%CVE-2024-7475CRITICALImproper Access Control in lunary-ai/lunaryEPSS 0.7%CVE-2024-1170HIGHPost Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) <= 2.8.7 - Missing Authorization to Unauthenticated Media DeletionEPSS 0.7%CVE-2026-7761HIGHUltimate Member <= 2.11.4 - Authenticated (Contributor+) Account Takeover via Password Reset Link DisclosureEPSS 0.7%CVE-2023-24453MEDIUMA missing check in Jenkins TestQuality Updater Plugin 1.3 and earlier allows attackers with Overall/Read permission to connect to an attackeEPSS 0.7%CVE-2023-24448MEDIUMA missing permission check in Jenkins RabbitMQ Consumer Plugin 2.8 and earlier allows attackers with Overall/Read permission to connect to aEPSS 0.7%CVE-2025-3604CRITICALFlynax Bridge <= 2.2.0 - Unauthenticated Privilege Escalation via Account TakeoverEPSS 0.7%CVE-2024-4317LOWPostgreSQL pg_stats_ext and pg_stats_ext_exprs lack authorization checksEPSS 0.7%CVE-2021-24842—Bulk Datetime Change < 1.12 - Missing AuthorisationEPSS 0.7%CVE-2022-4366MEDIUMMissing Authorization in lirantal/daloradiusEPSS 0.7%