Fallos del tipo CWE-862

9223 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-12156MEDIUMAi Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT ) All in One 2.0.7 - 2.2.6 - Missing Authorization to Authenticated (Subscriber+) Post CreationEPSS 0.2%CVE-2026-103495MEDIUMIn JetBrains YouTrack before 2026.2.19422 missing authorisation allowed reloading of translation catalogsEPSS 0.2%CVE-2026-18709MEDIUMMissing Authorization in MongoDB Sharded Transaction Commit/Abort Handling Leads to Cross-Shard Data InconsistencyEPSS 0.2%CVE-2024-12145MEDIUMBuddyPress <= 14.3.3 - Insecure Direct Object Reference to Notifications DeletionEPSS 0.2%CVE-2026-108496MEDIUMWordPress WP User Manager plugin <= 2.9.23 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-30731MEDIUMImproper access control vulnerability in My Files prior to version 13.1.00.193 allows attackers to access arbitrary private files in My FileEPSS 0.2%CVE-2026-23681MEDIUMMissing Authorization check in a function module in SAP Support Tools Plug-InEPSS 0.2%CVE-2025-12582MEDIUMFeatures <= 0.0.2 - Missing Authorization to Authenticated (Subscriber+) Option ResetEPSS 0.2%CVE-2025-12665MEDIUMNinja Countdown <= 1.5.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Countdown DeletionEPSS 0.2%CVE-2025-12563MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.6.0 - Incorrect Authorization to Video File UploadEPSS 0.2%CVE-2025-60166MEDIUMWordPress WP Subscription Forms PRO Plugin <= 2.0.5 - Arbitrary Content Deletion VulnerabilityEPSS 0.2%CVE-2025-27432LOWMissing Authorization check in SAP Electronic Invoicing for Brazil (eDocument Cockpit)EPSS 0.2%CVE-2025-64219MEDIUMWordPress Business Directory plugin <= 6.4.18 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-42851HIGH@kitty-edit DCS + --color=geninclude vulnerable to Unauthenticated in-process RCEEPSS 0.2%CVE-2026-93620MEDIUMWordPress PayPlus Payment Gateway plugin <= 8.2.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108659MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/listPackByTenantUserIdEPSS 0.2%CVE-2026-107850MEDIUMContao: Improper access control in the preview links moduleEPSS 0.2%CVE-2026-108658MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/queryTenantAuthInfoEPSS 0.2%CVE-2026-108664MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/queryByIdEPSS 0.2%CVE-2026-108891MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/getUserDetailByUserIdEPSS 0.2%