Fallos del tipo CWE-862

9256 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-106288MEDIUMMissing authorization in Browser in Google Chrome prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to bypass sEPSS 0.2%CVE-2025-11989LOWMissing Authorization in GitLabEPSS 0.2%CVE-2025-58192MEDIUMWordPress WP Bulk Delete Plugin <= 1.3.6 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2023-20909MEDIUMIn multiple functions of RunningTasks.java, there is a possible privilege escalation due to a missing privilege check. This could lead to loEPSS 0.2%CVE-2026-18177HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.2%CVE-2025-62144MEDIUMWordPress Core Web Vitals & PageSpeed Booster plugin <= 1.0.28 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-107791MEDIUMWP Comment Cleaner 6.1 - 7.1 - Subscriber+ Bulk Comment Deletion via nav_delete_all_commentEPSS 0.2%CVE-2023-41750LOWSensitive information disclosure due to missing authorization. The following products are affected: Acronis Agent (Linux, macOS, Windows) beEPSS 0.2%CVE-2025-69189HIGHWordPress JobBank plugin <= 1.2.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-80338MEDIUMCMB2 < 2.13.0 - Subscriber+ Arbitrary Option Corruption via oEmbed HandlerEPSS 0.2%CVE-2026-24996MEDIUMWordPress WPElemento Importer plugin <= 0.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24358MEDIUMWordPress Quiz And Survey Master plugin <= 10.3.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-93363MEDIUMPayload CMS storage-vercel-blob Adapter Improper Access Control on Upload RouteEPSS 0.2%CVE-2026-25016MEDIUMWordPress Nelio Popups plugin <= 1.3.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-100388MEDIUMRustDesk before 1.5.0 Missing Authorization Check on Incoming File Clipboard MessagesEPSS 0.2%CVE-2024-14032HIGHTwitch Studio LauncherHelper XPC Missing Authorization to Root File WriteEPSS 0.2%CVE-2026-24627MEDIUMWordPress Trusona for WordPress plugin <= 2.0.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-42479MEDIUMWordPress Soledad premium theme <= 8.2.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105698MEDIUMLangflow: Cross-user flow access and vertex execution via deprecated /api/v1/build/{flow_id}/vertices endpointsEPSS 0.2%CVE-2025-12061HIGHTax Service Electronic HDM < 1.2.1 - Unauthenticated Arbitrary SQL ExecutionEPSS 0.2%