Fallos del tipo CWE-862

8784 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2024-13554MEDIUMThe Ultimate WordPress Toolkit – WP Extended <= 3.0.13 - Missing Authorization to Unauthenticated Post Order ManipulationEPSS 0.3%CVE-2024-10897MEDIUMTutor LMS Elementor Addons <= 2.1.5 - Missing Authorization to Authenticated (Subscriber+) Limited Plugin InstallationEPSS 0.3%CVE-2025-24662MEDIUMWordPress LearnDash LMS Plugin <= 4.20.0.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-11378MEDIUMShortPixel Image Optimizer <= 6.3.4 - Authenticated (Contributor+) Settings Import/ExportEPSS 0.3%CVE-2024-56234MEDIUMWordPress VW Automobile Lite theme <= 2.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-14720MEDIUMBooking for Appointments and Events Calendar – Amelia <= 1.2.38 - Missing Authorization to Unauthenticated Multiple AJAX ActionsEPSS 0.3%CVE-2023-3352MEDIUMSmush – Lazy Load Images, Optimize & Compress Images <= 3.16.4 - Missing Authorization to Resmush List DeletionEPSS 0.3%CVE-2026-27679MEDIUMMissing Authorization check in SAP S/4HANA Frontend OData Service (Manage Reference Structures)EPSS 0.3%CVE-2025-8425HIGHMy WP Translate <= 1.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Options UpdateEPSS 0.3%CVE-2026-63669MEDIUMApostropheCMS: Missing destination-parent authorization in page `move()` allows a low-privileged editor to move and re-rank pages inside a restricted subtreeEPSS 0.3%CVE-2026-47233MEDIUMAdmidio: Any logged-in user can delete inventory fields via `mode=field_delete` — incomplete fix of #2024EPSS 0.3%CVE-2025-48272MEDIUMWordPress WP Job Portal plugin <= 2.3.2 - Insecure Direct Object References (IDOR) VulnerabilityEPSS 0.3%CVE-2026-76143HIGHGenians, Inc Genian SSL PNS Multi Factor Authentication BypassEPSS 0.3%CVE-2026-68754MEDIUMPublishers without delete permission can overwrite docker layer informationEPSS 0.3%CVE-2023-28492MEDIUMWordPress Calendar Event Multi View plugin <= 1.4.10 - Missing Authorization Leading To Feedback Submission vulnerabilityEPSS 0.3%CVE-2024-56006MEDIUMWordPress Jetpack Debug Tools plugin < 2.0.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-24364MEDIUMWordPress WP User Frontend plugin <= 4.2.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27678MEDIUMMissing Authorization check in SAP S/4HANA Backend OData Service (Manage Reference Structures)EPSS 0.3%CVE-2025-31071MEDIUMWordPress HotStar – Multi-Purpose Business Theme <= 1.4 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-6718HIGHB1.lt for WooCommerce <= 2.2.57 - Missing Authorization to Authenticated (Subscriber+) Arbitrary SQL InjectionEPSS 0.3%