Fallos del tipo CWE-862

8874 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-1285MEDIUMResido - Real Estate WordPress Theme <= 3.6 - Missing Authorization to Unauthenticated Server-Side Request Forgery and API Key Settings UpdateEPSS 0.3%CVE-2024-5860MEDIUMTickera <= 3.5.2.8 - Missing Authorization to Authenticated (Susbcriber+) Ticket DeletionEPSS 0.3%CVE-2026-12988MEDIUMWP 2FA < 3.1.1.2 - Account Takeover via 2FA Setup Email BindingEPSS 0.3%CVE-2025-14798MEDIUMLearnPress – WordPress LMS Plugin <= 4.3.2.4 - Missing Authorization to Unauthenticated Sensitive User Information Disclosure via REST APIEPSS 0.3%CVE-2025-8223MEDIUMjerryshensjf JPACookieShop 蛋糕商城JPA版 AdminTypeCustController.java cross-site request forgeryEPSS 0.3%CVE-2023-46616MEDIUMWordPress Draw Attention plugin <= 2.0.15 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-47828MEDIUMWordPress wpMandrill plugin <= 1.33 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-4088MEDIUMGutenberg Blocks and Page Layouts – Attire Blocks <= 1.9.2 - Missing AuthorizationEPSS 0.3%CVE-2024-4661MEDIUMWP Reset <= 2.02 - Missing Authorization to License Key ModificationEPSS 0.3%CVE-2025-12027MEDIUMMesmerize Companion <= 1.6.158 - Missing Authorization Authenticated (Subscriber+) Settings UpdateEPSS 0.3%CVE-2023-7288MEDIUMPaytium: Mollie payment forms & donations <= 4.3.7 - Missing Authorization in 'update_profile_preference'EPSS 0.3%CVE-2024-37544MEDIUMWordPress Get Better Reviews for WooCommerce plugin <= 4.0.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-36756MEDIUMDevice Takeover vulnerability in SolaX CloudEPSS 0.3%CVE-2025-11370MEDIUMDepicter <= 4.0.7 - Missing Authorization to Unauthenticated Display Rule UpdatesEPSS 0.3%CVE-2026-22663HIGHprompts.chat Authorization Bypass Information DisclosureEPSS 0.3%CVE-2025-14080MEDIUMFrontend Post Submission Manager Lite <= 1.2.5 - Missing Authorization to Unauthenticated Arbitrary Post ModificationEPSS 0.3%CVE-2025-66080MEDIUMWordPress WP Cookie Notice for GDPR, CCPA & ePrivacy Consent plugin <= 4.0.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-97239MEDIUMWordPress MCP Content Manager Lite plugin <= 1.1.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-34722MEDIUMZammad is missing authorization in ticket create endpointEPSS 0.3%CVE-2026-39360MEDIUMRustFS has an authorization bypass in multipart UploadPartCopy enables cross-bucket object exfiltrationEPSS 0.3%