Fallos del tipo CWE-862

9081 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-85133MEDIUMWPLP Cookie Consent < 4.4.2 - Subscriber+ Missing Authorization via Multiple Settings AJAX ActionsEPSS 0.2%CVE-2026-33141MEDIUMChamilo LMS has an IDOR in REST API Stats Endpoint Exposes Any User's Learning DataEPSS 0.2%CVE-2026-12689MEDIUMProfileGrid < 5.9.9.7 - Subscriber+ Cross-User Private Message Thread Deletion and Tampering via Missing AuthorizationEPSS 0.2%CVE-2026-18819MEDIUMRackTables cross-site request forgeryEPSS 0.2%CVE-2026-87511MEDIUMMissing authorization in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafteEPSS 0.2%CVE-2026-78272MEDIUMWordPress Fluent Support Pro plugin <= 2.3.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-84674MEDIUMMissing permission checks in Jenkins XebiaLabs XL Deploy Plugin 26.1.0 and earlier allow attackers with Overall/Read permission to enumerateEPSS 0.2%CVE-2026-16216MEDIUMgeex-arts django-jet OAuth cross-site request forgeryEPSS 0.2%CVE-2026-6472MEDIUMPostgreSQL CREATE TYPE does not check multirange schema CREATE privilegeEPSS 0.2%CVE-2025-64294MEDIUMWordPress WP Snow Effect plugin <= 1.1.19 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-59826HIGHFlagForgeCTF Vulnerable to Unauthorized Problem CreationEPSS 0.2%CVE-2025-67466MEDIUMWordPress Trinity Audio plugin <= 5.23.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-8335MEDIUMcode-projects Simple Car Rental System cross-site request forgeryEPSS 0.2%CVE-2026-77517MEDIUMMaxKB cross-knowledge IDOR lets a normal user read and modify documents and paragraphs in another knowledge baseEPSS 0.2%CVE-2022-45813MEDIUMWordPress Advanced AJAX Product Filters plugin <= 1.6.3.3 - Broken Access Control + CSRFEPSS 0.2%CVE-2026-14941MEDIUMCustomer Reviews for WooCommerce < 5.116.0 - Subscriber+ Missing Authorization via Multiple Settings AJAX ActionsEPSS 0.2%CVE-2026-23522LOWLobe Chat has IDOR in Knowledge Base File Removal that Allows Cross User File DeletionEPSS 0.2%CVE-2026-39607MEDIUMWordPress Filter Plus plugin <= 1.1.17 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106289MEDIUMMissing authorization in FedCM in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to bypass web origin policy via a crafted HEPSS 0.2%CVE-2025-43311MEDIUMThis issue was addressed with additional entitlement checks. This issue is fixed in macOS Sequoia 15.7, macOS Sonoma 14.8, macOS Tahoe 26. AEPSS 0.2%