Fallos del tipo CWE-862

9084 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-64352LOWWordPress Essential Addons for Elementor plugin <= 6.2.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-15228HIGHKong Kubernetes Ingress Controller cluster-wide ingress configuration DoS via CA-certificate ID collisionEPSS 0.2%CVE-2025-53113LOWGLPI technicians can access unauthorized information through external linksEPSS 0.2%CVE-2025-48916MEDIUMBookable Calendar - Less critical - Access bypass - SA-CONTRIB-2025-070EPSS 0.2%CVE-2026-23875MEDIUMCrawlChat's Discord Bot has a Knowledge Permission vulnerabilityEPSS 0.2%CVE-2026-100266HIGHIn JetBrains Hub before 2026.2.52366 missing authorisation allowed authenticated users to send arbitrary emails from the server's trusted adEPSS 0.2%CVE-2026-104388MEDIUMWordPress PowerPress Podcasting plugin <= 11.17.9 - Sensitive Data Exposure vulnerabilityEPSS 0.2%CVE-2026-104397MEDIUMWordPress Name Directory plugin <= 1.34.2 - Arbitrary Shortcode Execution vulnerabilityEPSS 0.2%CVE-2025-12817LOWPostgreSQL CREATE STATISTICS does not check for schema CREATE privilegeEPSS 0.2%CVE-2026-82195MEDIUM10Web Booster < 2.34.0 - Unauthenticated Connection Secret Disclosure and DeletionEPSS 0.2%CVE-2025-54744MEDIUMWordPress MasterStudy LMS plugin <= 3.6.15 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25000MEDIUMWordPress Wheel of Life plugin <= 1.2.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-53571MEDIUMWordPress HAPPY plugin <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25338MEDIUMWordPress AI ChatBot with ChatGPT and Content Generator by AYS plugin <= 2.7.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25386MEDIUMWordPress Ally plugin <= 4.0.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25321MEDIUMWordPress SupportCandy plugin <= 3.4.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25415MEDIUMWordPress WPBookit Pro plugin <= 1.6.18 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-58198MEDIUMWordPress Xpro Theme Builder Plugin <= 1.2.9 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2026-24999MEDIUMWordPress Alma plugin <= 5.16.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-14755MEDIUMCost Calculator Builder <= 4.0.1 - Unauthenticated Price Manipulation and Insecure Direct Object ReferenceEPSS 0.2%