Fallos del tipo CWE-862

9163 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-18317MEDIUMFoxtool All-in-One: Contact chat button, Custom login, Media optimize images <= 2.5.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Settings Modification via 'option_key' Parameter of toggle_watermark AJAX ActionEPSS 0.2%CVE-2025-12167MEDIUMContact Form 7 AWeber Extension <= 0.1.42 - Missing Authorization to Authenticated (Subscriber+) Log ResetEPSS 0.2%CVE-2026-108883HIGHJeecgBoot through 3.9.5 Missing Authorization via /sys/thirdApp/editThirdAppConfigEPSS 0.2%CVE-2026-63431MEDIUMHorilla: Missing Authorization on Payroll Component Views Exposes Employee Salary Structures and Personal Loan Records (IDOR)EPSS 0.2%CVE-2026-108661HIGHJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/changeOwenUserTenantEPSS 0.2%CVE-2026-104390MEDIUMWordPress Booktics plugin <= 1.0.27 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-91108MEDIUMAlt Text AI <= 1.10.41 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Content Modification via atai_enrich_post_content AJAX ActionEPSS 0.2%CVE-2026-78953LOWMissing authorization in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer prEPSS 0.2%CVE-2026-24313MEDIUMMissing Authorization check in SAP Solution Tools Plug-In (ST-PI)EPSS 0.2%CVE-2025-0836MEDIUMXProtect MIP API Missing AuthorizationEPSS 0.2%CVE-2026-103337MEDIUMWordPress WC Ukraine Shipping plugin <= 1.23.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-18132MEDIUMIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.2%CVE-2026-95371MEDIUMMissing authorization in Views in Google Chrome on on Mac prior to 154.0.8037.57 allowed a remote attacker who had compromised the renderer EPSS 0.2%CVE-2025-54458MEDIUMUnauthorized Subscription Creation to Confluence Space in Mattermost Confluence PluginEPSS 0.2%CVE-2026-2520MEDIUMOnline Scheduling and Appointment Booking System – Bookly <= 27.2 - Missing Authorization to Authenticated (Subscriber+) Limited Arbitrary Plugin UpdateEPSS 0.2%CVE-2026-95589MEDIUMWordPress Deposits and Partial Payments for WooCommerce plugin <= 4.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-93529MEDIUMWordPress WSP MCP - AI Agents Connector plugin <= 2.7.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108877MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/deleteEPSS 0.2%CVE-2026-24368MEDIUMWordPress The Grid plugin <= 2.8.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24380MEDIUMWordPress EventPrime plugin <= 4.2.8.0 - Broken Access Control vulnerabilityEPSS 0.2%