Fallos del tipo CWE-862

9220 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-107352MEDIUMMissing authorization checks in Amazon Athena engine version 3 request handlingEPSS 0.2%CVE-2026-2299MEDIUMImproper Access Control in Mattermost Google Drive Plugin File Creation EndpointEPSS 0.2%CVE-2026-54608HIGHMythicalDash: Unauthenticated payment bypass in Stripe success-redirect endpoint allows arbitrary free credit top-upEPSS 0.2%CVE-2026-85209MEDIUMIDOR in AVEZ Electronics's LMSEPSS 0.2%CVE-2026-109319MEDIUMGrav Guestbook Plugin 0.5.0 and 0.5.1 Missing Authorization and CSRF in ModerationEPSS 0.2%CVE-2026-15823MEDIUMBuilderall for WordPress <= 3.0.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Meta Modification via 'ba_cheetah_data[post_id]' ParameterEPSS 0.2%CVE-2026-53514HIGHBetter Auth: Unauthorized invitation acceptance via unverified email match in organization pluginEPSS 0.2%CVE-2026-105891MEDIUMWordPress Event Tickets plugin <= 5.30.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64681LOWIn JetBrains Hub before 2025.3.104992 a race condition allowed bypass of the user limit via invitationsEPSS 0.2%CVE-2025-12822MEDIUMWP Login and Register using JWT <= 3.0.0 - Missing Authorization to Authenticated (Subscriber+) API Key ExposureEPSS 0.2%CVE-2025-0951MEDIUMLiquidThemes Themes <= Various Versions - Missing Authorization to Authenticated (Subscriber+) All Plugins DeactivatedEPSS 0.2%CVE-2026-90974MEDIUMWP Fusion Lite 3.37.14 - 3.47.14 - Unauthenticated CRM Integration Settings UpdateEPSS 0.2%CVE-2025-10489MEDIUMSureForms – Drag and Drop Form Builder for WordPress <= 1.12.0 - Missing Authorization to Authenticated (Contributor+) Form CreationEPSS 0.2%CVE-2026-24545MEDIUMWordPress QR Redirector plugin <= 2.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-43318MEDIUMThis issue was addressed with additional entitlement checks. This issue is fixed in macOS Tahoe 26. An app with root privileges may be able EPSS 0.2%CVE-2026-24582MEDIUMWordPress FlexTable plugin <= 3.24.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24527MEDIUMWordPress Autoship Cloud for WooCommerce Subscription Products plugin <= 2.14.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-13812MEDIUMGamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress <= 7.6.1 - Missing Authorization to Authenticated (Subscriber+) Information ExposureEPSS 0.2%CVE-2025-13136MEDIUMGSheetConnector For Ninja Forms <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) System Information ExposureEPSS 0.2%CVE-2026-97285MEDIUMWordPress The Events Calendar plugin <= 6.17.5 - Broken Access Control vulnerabilityEPSS 0.2%