Fallos del tipo CWE-862

9235 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-13611MEDIUMKiviCare – Clinic & Patient Management System (EHR) < 4.5.5 - Unauthenticated Patient Data DisclosureEPSS 0.2%CVE-2026-108886MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/queryChildrenByUsernameEPSS 0.2%CVE-2026-109356MEDIUMLibreNMS before 26.9.0 Missing Authorization in Port Purge via PortsControllerEPSS 0.2%CVE-2025-69361MEDIUMWordPress Post Expirator plugin <= 4.9.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109668MEDIUMFrappe ERPNext before 15.110.0 Missing Authorization in Party Record EndpointsEPSS 0.2%CVE-2025-64269MEDIUMWordPress WooCommerce PDF Invoice Builder plugin <= 1.2.150 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109664MEDIUMFrappe ERPNext before 15.112.0 Missing Authorization Allows Arbitrary Record ModificationEPSS 0.2%CVE-2026-109598MEDIUMFrappe before 16.33.0 Broken Authorization via send_sms EndpointEPSS 0.2%CVE-2026-109629MEDIUMFrappe ERPNext before 15.121.3 Missing Authorization in Transactional Email EndpointEPSS 0.2%CVE-2025-69333MEDIUMWordPress JetEngine plugin <= 3.8.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109635MEDIUMFrappe ERPNext before 15.105.0 Missing Authorization in Document Creation EndpointsEPSS 0.2%CVE-2026-28615CRITICALIn Telecomm, there is a possible way to initiate an unauthorized phone call due to a permissions bypass. This could lead to local escalationEPSS 0.2%CVE-2026-109611MEDIUMFrappe ERPNext before 15.121.0 Missing Authorization in Certain EndpointsEPSS 0.2%CVE-2025-59005MEDIUMWordPress Categorify plugin <= 1.0.7.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69336MEDIUMWordPress Ultimate Store Kit Elementor Addons plugin <= 2.9.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109622MEDIUMFrappe ERPNext before 15.121.0 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-109599MEDIUMFrappe before 15.113.3 Missing Authorization Allows Unauthorized Record ModificationEPSS 0.2%CVE-2026-25011MEDIUMWordPress WP Custom Admin Interface plugin <= 7.41 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-91713MEDIUMMissing authorization in Browser in Google Chrome prior to 153.0.8010.47 allowed a remote attacker who had compromised the renderer process EPSS 0.2%CVE-2026-109665MEDIUMFrappe ERPNext before 15.108.0 Missing Authorization Allows Master Record DeactivationEPSS 0.2%