Fallos del tipo CWE-862

9225 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-108659MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/listPackByTenantUserIdEPSS 0.2%CVE-2026-19430MEDIUMCatFolders Document Gallery Pro < 2.0.7 - Unauthenticated Missing Authorization via download-allEPSS 0.2%CVE-2026-108706MEDIUMeladmin through commit 55fbf70 Missing Authorization via S3 Storage Download EndpointEPSS 0.2%CVE-2026-108886MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/queryChildrenByUsernameEPSS 0.2%CVE-2026-108676MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/annountCement/downLoadFilesEPSS 0.2%CVE-2026-52850MEDIUMDocmost: Broken access control in transclusion lookup API leaks sync-block content across private spacesEPSS 0.2%CVE-2026-108656MEDIUMJeecgBoot through 3.9.5 Missing Authorization via getTenantPackApplyUsers EndpointEPSS 0.2%CVE-2026-108888MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/sysDepartRole/exportXlsEPSS 0.2%CVE-2026-108867MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/api/getUserRoleSetByIdEPSS 0.2%CVE-2026-108669MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/knowledge/embedding/searchEPSS 0.2%CVE-2026-108891MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/getUserDetailByUserIdEPSS 0.2%CVE-2023-43488HIGHThe vulnerability allows a low privileged (untrusted) application to modify a critical system property that should be denied, in order to eEPSS 0.2%CVE-2026-100585HIGHOpenClaw before 2026.7.1 Authentication Bypass via MCP ChannelEPSS 0.2%CVE-2026-91739MEDIUMMissing authorization in Transactions Platform in Google Chrome prior to 153.0.8010.47 allowed a remote attacker who had compromised the renEPSS 0.2%CVE-2026-108678MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/api/queryUserRolesEPSS 0.2%CVE-2025-11762MEDIUMHubSpot All-In-One Marketing - Forms, Popups, Live Chat <= 11.3.32 - Missing Authorization to Authenticated (Contributor+) Installed Plugin DisclosureEPSS 0.2%CVE-2026-108881MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/getTenantPackInfoEPSS 0.2%CVE-2026-108878MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/app/queryByIdEPSS 0.2%CVE-2026-13611MEDIUMKiviCare – Clinic & Patient Management System (EHR) < 4.5.5 - Unauthenticated Patient Data DisclosureEPSS 0.2%CVE-2025-68479HIGHDiscourse subscriptions are susceptible to takeoverEPSS 0.2%