Fallos del tipo CWE-862

9069 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-108628HIGHJeecgBoot through 3.9.5 Missing Authorization via saveDeptRolePermission EndpointEPSS 0.2%CVE-2026-108657HIGHJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/passApplyEPSS 0.2%CVE-2025-62973MEDIUMWordPress BuddyForms plugin <= 2.10.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62132MEDIUMWordPress Tasty Recipes Lite plugin <= 1.1.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106271HIGHMissing authorization in Workers in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer process EPSS 0.2%CVE-2026-79053LOWMissing authorization in Lighthouse in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer proceEPSS 0.2%CVE-2025-58980MEDIUMWordPress Export WP Page to Static HTML/CSS Plugin <= 4.1.0 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2026-24592MEDIUMWordPress Auto Affiliate Links plugin <= 6.8.8.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-86182MEDIUMdiem-project diem dmConsole actions.class.php executeCommand cross-site request forgeryEPSS 0.2%CVE-2026-57291MEDIUMMissing permission checks in Jenkins Gitee Plugin 1288.v18b_deb_c9069b_ and earlier allow attackers with Overall/Read permission to connect EPSS 0.2%CVE-2025-14484MEDIUMImage Buzz <= 1.0.3 - Missing Authorization to Unauthenticated Arbitrary API Key Modification via 'pixabay_api' ParameterEPSS 0.2%CVE-2026-16582MEDIUMBooking for Appointments and Events Calendar - Amelia <= 2.4.5 - Missing Authorization to Unauthenticated Payment BypassEPSS 0.2%CVE-2026-87511MEDIUMMissing authorization in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafteEPSS 0.2%CVE-2026-9303MEDIUMcalcom cal.diy cross-site request forgeryEPSS 0.2%CVE-2026-94679MEDIUMWordPress Fluent Support plugin <= 2.3.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-67474MEDIUMWordPress ForumWP plugin <= 2.1.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-67466MEDIUMWordPress Trinity Audio plugin <= 5.23.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-8335MEDIUMcode-projects Simple Car Rental System cross-site request forgeryEPSS 0.2%CVE-2026-58590MEDIUMFlowDrop - Moderately critical - Access bypass - SA-CONTRIB-2026-068EPSS 0.2%CVE-2026-65478MEDIUMWordPress ListingPro plugin <= 2.9.10 - Broken Access Control vulnerabilityEPSS 0.2%