Fallos del tipo CWE-862

9220 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-93950HIGHWordPress Motors theme <= 1.4.108 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-39789HIGHWordPress Fluent Affiliate Pro plugin <= 1.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-103323MEDIUMIntegration for Epos Now and WooCommerce 4.6.0 - 4.11.1 - Unauthenticated Action Scheduler Queue DisclosureEPSS 0.2%CVE-2025-66151MEDIUMWordPress Countdowner for Elementor plugin <= 1.0.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-39117HIGHIn messaging service, there is a missing permission check. This could lead to local information disclosure with no additional execution privEPSS 0.2%CVE-2026-105072HIGHWordPress FluentBooking Pro plugin < 2.5.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-96335HIGHWordPress Forminator plugin <= 1.57.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62108MEDIUMWordPress Add Custom Codes plugin <= 4.80 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-65422MEDIUMA flaw in the authorization mechanism for Media Gateway API in Genetec Security Center may allow a user with no playback privileges to generEPSS 0.2%CVE-2026-103251HIGHn8n before 1.123.80, 2.39.6, and 2.40.1 Package Install Validation Bypass via PubSubEPSS 0.2%CVE-2026-107352MEDIUMMissing authorization checks in Amazon Athena engine version 3 request handlingEPSS 0.2%CVE-2026-105891MEDIUMWordPress Event Tickets plugin <= 5.30.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68522MEDIUMWordPress WpStream plugin <= 4.9.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12014MEDIUMNGINX Cache Optimizer <= 1.1 - Missing Authorization to Authenticated (Subscriber+) Dynamic Caching Exclusion UpdateEPSS 0.2%CVE-2026-2299MEDIUMImproper Access Control in Mattermost Google Drive Plugin File Creation EndpointEPSS 0.2%CVE-2026-48783MEDIUMPostiz has an unauthenticated billing-enforcement bypass via /public/modify-subscriptionEPSS 0.2%CVE-2025-11255MEDIUMPassword Policy Manager | Password Manager <= 2.0.5 - Missing Authorization to Authenticated (Subscriber+) Configuration Log OutEPSS 0.2%CVE-2026-4590LOWkalcaddle kodbox loginSubmit API index.class.php cross-site request forgeryEPSS 0.2%CVE-2025-11887MEDIUMSupervisor <= 1.3.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%CVE-2025-12389MEDIUMImport Export For WooCommerce <= 1.6.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%