Fallos del tipo CWE-862

9063 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2024-0394HIGHRapid7 Minerva Armor Privilege EscalationEPSS 0.2%CVE-2025-14357MEDIUMMega Store Woocommerce <= 5.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Page Creation and Settings ChangeEPSS 0.2%CVE-2025-64257MEDIUMWordPress My Tickets plugin <= 2.1.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68592MEDIUMWordPress WP Adminify plugin <= 4.0.6.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-1055MEDIUMK7 Security Anti-Malware: IOCTL in K7RKScan.sys Allows Arbitrary Termination of High-Privilege and System Processes by a Low-Privilege UserEPSS 0.2%CVE-2025-11587MEDIUMCall Now Button <= 1.5.3 - Missing Authorization to Authenticated (Subscriber+) Limited Plugin Settings UpdateEPSS 0.2%CVE-2025-67468MEDIUMWordPress Integration for Salesforce and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms plugin <= 1.4.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-10303MEDIUMLibrary Management System <= 3.1 - Missing Authorization to Authenticated (Subscriber+) Settings ManipulationEPSS 0.2%CVE-2025-49356MEDIUMWordPress Orders Chat for WooCommerce plugin <= 1.2.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-71322MEDIUMLemur: Missing authorization check on POST /certificates/<id>/export for plugins with requires_key = FalseEPSS 0.2%CVE-2026-102320MEDIUMMissing authorization in CORS in Google Chrome prior to 154.0.8037.92 allowed a remote attacker who had compromised the renderer process to EPSS 0.2%CVE-2026-19775MEDIUMOpenStation <= 1.1.7 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via AI Copilot Search EndpointEPSS 0.2%CVE-2025-12180MEDIUMQi Blocks <= 1.4.3 - Missing Authorization to Authenticated (Contributor+) Plugin Settings UpdateEPSS 0.2%CVE-2025-9202MEDIUMColorMag <= 4.0.19 - Missing Authorization to Authenticated (Subscriber+) ThemeGrill Demo Importer Plugin InstallationEPSS 0.2%CVE-2025-31611MEDIUMWordPress Auto Post After Image Upload plugin <= 1.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-14441MEDIUMPopupkit <= 2.2.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Subscriber Data DeletionEPSS 0.2%CVE-2025-46255HIGHWordPress LoginWP - Pro Plugin <= 4.0.8.5 - Settings Change vulnerabilityEPSS 0.2%CVE-2025-23656MEDIUMWordPress Donate visa plugin <= 1.0.0 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-66068MEDIUMWordPress InstaWP Connect plugin <= 0.1.1.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-1751LOWMissing Authorization in GitLabEPSS 0.2%