Fallos del tipo CWE-862

8785 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-32296MEDIUMWordPress Simple Link Directory Pro plugin < 14.8.1 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-47745MEDIUMShopper: Missing per-action authorization on PaymentMethods, Currencies and Carriers admin tablesEPSS 0.3%CVE-2026-47742MEDIUMShopper: Missing authorization on Product admin Livewire sub-form componentsEPSS 0.3%CVE-2025-31071MEDIUMWordPress HotStar – Multi-Purpose Business Theme <= 1.4 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-41658MEDIUMAdmidio: Missing Authorization on Inventory Module Destructive Endpoints Allows Any Authenticated User to Delete ItemsEPSS 0.3%CVE-2025-11378MEDIUMShortPixel Image Optimizer <= 6.3.4 - Authenticated (Contributor+) Settings Import/ExportEPSS 0.3%CVE-2026-63669MEDIUMApostropheCMS: Missing destination-parent authorization in page `move()` allows a low-privileged editor to move and re-rank pages inside a restricted subtreeEPSS 0.3%CVE-2025-9331MEDIUMSpacious <= 1.9.11 - Missing Authorization to Autheticated (Subscriber+) Demo Data ImportEPSS 0.3%CVE-2025-49997MEDIUMWordPress Giveaways and Contests by RafflePress plugin <= 1.12.18 - Broken Access Control + CSRF VulnerabilityEPSS 0.3%CVE-2026-86731HIGHCraft CMS 5.0.0-RC1 before 5.10.12 Permission Escalation via UsersControllerEPSS 0.3%CVE-2026-76143HIGHGenians, Inc Genian SSL PNS Multi Factor Authentication BypassEPSS 0.3%CVE-2026-63203HIGHLogto: Account API can disclose stored third-party provider tokens without the identities scopeEPSS 0.3%CVE-2025-14720MEDIUMBooking for Appointments and Events Calendar – Amelia <= 1.2.38 - Missing Authorization to Unauthenticated Multiple AJAX ActionsEPSS 0.3%CVE-2026-27679MEDIUMMissing Authorization check in SAP S/4HANA Frontend OData Service (Manage Reference Structures)EPSS 0.3%CVE-2024-56234MEDIUMWordPress VW Automobile Lite theme <= 2.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-24364MEDIUMWordPress WP User Frontend plugin <= 4.2.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-28492MEDIUMWordPress Calendar Event Multi View plugin <= 1.4.10 - Missing Authorization Leading To Feedback Submission vulnerabilityEPSS 0.3%CVE-2026-28038MEDIUMWordPress Ultimate Addons for WPBakery Page Builder plugin <= 3.21.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-1667HIGHSEO Plugin by Squirrly SEO <= 14.0.0 - Unauthenticated Arbitrary Post Creation and Stored Cross-Site Scripting via savePost()EPSS 0.3%CVE-2026-27677MEDIUMMissing Authorization check in SAP S/4HANA OData Service (Manage Reference Equipment)EPSS 0.3%