Fallos del tipo CWE-862

9161 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-64171HIGHMARIN3R: Cross-Namespace Vulnerability in the OperatorEPSS 0.2%CVE-2025-66107MEDIUMWordPress Subscriptions & Memberships for PayPal plugin <= 1.1.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-93378LOWMissing authorization in Storage in Google Chrome prior to 153.0.8010.52 allowed a remote attacker who had compromised the renderer process EPSS 0.2%CVE-2025-68042MEDIUMWordPress Travelpayouts plugin <= 1.2.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-63002MEDIUMWordPress Sermon Manager plugin <= 2.30.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-44592CRITICALGradient: Unauthenticated worker on /proto → arbitrary NAR write / cache poisoningEPSS 0.2%CVE-2026-24543MEDIUMWordPress Materialis Companion plugin <= 1.3.52 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-22466MEDIUMWordPress WP MapIt plugin <= 3.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24940MEDIUMWordPress Travelfic Toolkit plugin <= 1.3.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24571MEDIUMWordPress BOX NOW Delivery plugin <= 3.0.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24580MEDIUMWordPress Ecwid Shopping Cart plugin <= 7.0.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-2301MEDIUMPost Duplicator <= 3.0.8 - Missing Authorization to Authenticated (Contributor+) Protected Post Meta Insertion via 'customMetaData' ParameterEPSS 0.2%CVE-2026-24563MEDIUMWordPress LifePress plugin <= 2.2.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24985MEDIUMWordPress WP Forms Signature Contract Add-On plugin <= 1.8.2 - Broken Access Control to Notice Dismissal vulnerabilityEPSS 0.2%CVE-2026-24579MEDIUMWordPress Ai Image Alt Text Generator for WP plugin <= 1.1.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-22468MEDIUMWordPress Absolute Addons For Elementor plugin <= 1.0.14 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-22481MEDIUMWordPress BD Courier Order Ratio Checker plugin <= 2.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24578MEDIUMWordPress Admin login URL Change plugin <= 1.1.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-22450MEDIUMWordPress Don Peppe theme <= 1.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24569MEDIUMWordPress Media Library File Size plugin <= 1.6.7 - Broken Access Control vulnerabilityEPSS 0.2%