Fallos del tipo CWE-862

9151 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-58639MEDIUMWordPress Contact Form By Mega Forms Plugin <= 1.6.1 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-42991MEDIUMMissing Authorization check in SAP S/4HANA (Bank Account Application)EPSS 0.2%CVE-2026-2504MEDIUMDealia – Request a quote <= 1.0.7 - Missing Authorization to Authenticated (Contributor+) Plugin Configuration ResetEPSS 0.2%CVE-2026-24190HIGHNVIDIA Display Driver for Windows and Linux contains a vulnerability in the kernel mode layer, where a user could cause improper access to GEPSS 0.2%CVE-2026-15760MEDIUMDivi Essentials <= 5.8.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via dnxte_get_database_data AJAX ActionEPSS 0.2%CVE-2026-17563MEDIUMWP User Frontend < 4.3.11 - Unauthenticated Post Creation via Subscription-Gated FormEPSS 0.2%CVE-2025-1358MEDIUMPix Software Vivaz cross-site request forgeryEPSS 0.2%CVE-2026-25408MEDIUMWordPress Broken Link Notifier plugin <= 1.3.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-1778MEDIUMArt Theme <= 3.12.2.3 - Missing Authorization to Authenticated (Subscriber+) Theme Option DeleteEPSS 0.2%CVE-2026-92437MEDIUMMailchimp for WooCommerce < 6.3 - Unauthenticated Abandoned Cart Modification and DeletionEPSS 0.2%CVE-2024-50573MEDIUMIn JetBrains Hub before 2024.3.47707 improper access control allowed users to generate permanent tokens for unauthorized servicesEPSS 0.2%CVE-2026-18042MEDIUMWP Travel < 12.0.2 - Unauthenticated Arbitrary Booking CancellationEPSS 0.2%CVE-2025-42987MEDIUMMissing Authorization Check in SAP S/4HANA (Manage Processing Rules - For Bank Statement)EPSS 0.2%CVE-2025-28103MEDIUMIncorrect access control in laskBlog v2.6.1 allows attackers to arbitrarily delete user accounts via a crafted request.EPSS 0.2%CVE-2026-83555MEDIUMEmail Subscribers by Icegram Express < 5.9.35 - Unauthenticated Subscription Status Change via Missing Token VerificationEPSS 0.2%CVE-2025-25081MEDIUMWordPress Embed RSS plugin <= 3.1 - Arbitrary Shortcode Execution vulnerabilityEPSS 0.2%CVE-2025-64247MEDIUMWordPress Read More & Accordion plugin <= 3.5.5.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105209CRITICALZITADEL before 3.4.15 and 4.17.1 Cross-Organization Account Takeover via Passkey EnrollmentEPSS 0.2%CVE-2025-66526MEDIUMWordPress Tablesome plugin <= 1.1.34 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64246MEDIUMWordPress Accessibility by AudioEye plugin <= 1.0.49 - Broken Access Control vulnerabilityEPSS 0.2%