Fallos del tipo CWE-862

9254 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-86785MEDIUMSocial Commerce for WooCommerce <= 2.5.4 - Unauthenticated Plugin Option and Product Sync Status UpdateEPSS 0.2%CVE-2026-89289MEDIUMFast Courier <= 5.2.3 - Unauthenticated Order Fulfillment Update via order-status-update REST EndpointEPSS 0.2%CVE-2025-12634MEDIUMRefund Request for WooCommerce <= 1.0 - Missing Authorization to Authenticated (Subscriber+) Refund Status UpdateEPSS 0.2%CVE-2024-8042LOWRapid7 Insight Platform Unauthorized Empty Group CreationEPSS 0.2%CVE-2026-89300MEDIUMWP Verify API <= 1.0.0 - Unauthenticated Verification Code Email Sending to Arbitrary RecipientsEPSS 0.2%CVE-2026-12758MEDIUMMultiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026.EPSS 0.2%CVE-2026-88846MEDIUMMasterStudy LMS 2.3.0 - < 3.7.50 - Unauthenticated Account Creation with Registration DisabledEPSS 0.2%CVE-2026-105190MEDIUMEasy Digital Downloads < 3.7.1 - Unauthenticated Account Creation with Registration DisabledEPSS 0.2%CVE-2026-96200MEDIUMPayments for Hubtel < 1.0.2 - Unauthenticated Payment Confirmation Forgery via Delayed Payment CallbackEPSS 0.2%CVE-2025-69346MEDIUMWordPress AffiliateX plugin <= 1.3.9.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69344MEDIUMWordPress Oneline Lite theme <= 6.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-67592MEDIUMWordPress My Calendar plugin <= 3.6.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69091MEDIUMWordPress Demo Importer Plus plugin <= 2.0.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68557MEDIUMWordPress Chakra test plugin <= 1.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69354MEDIUMWordPress Better Business Reviews plugin <= 0.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-48731MEDIUMUnauthorized Subscription Edit to Confluence Space in Mattermost Confluence PluginEPSS 0.2%CVE-2025-62130MEDIUMWordPress Accordion Slider Gallery plugin <= 2.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-34766LOWElectron: USB device selection not validated against filtered device listEPSS 0.2%CVE-2025-62131MEDIUMWordPress Tasty Recipes Lite plugin <= 1.1.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62154MEDIUMWordPress AI Content Writing Assistant (Content Writer, ChatGPT, Image Generator) All in One plugin <= 1.1.7 - Broken Access Control vulnerabilityEPSS 0.2%