Fallos del tipo CWE-862

9257 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-105421MEDIUMWordPress Kit (formerly ConvertKit) for WooCommerce plugin <= 2.2.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-11989LOWMissing Authorization in GitLabEPSS 0.2%CVE-2025-58192MEDIUMWordPress WP Bulk Delete Plugin <= 1.3.6 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2023-41750LOWSensitive information disclosure due to missing authorization. The following products are affected: Acronis Agent (Linux, macOS, Windows) beEPSS 0.2%CVE-2026-80338MEDIUMCMB2 < 2.13.0 - Subscriber+ Arbitrary Option Corruption via oEmbed HandlerEPSS 0.2%CVE-2025-69189HIGHWordPress JobBank plugin <= 1.2.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-87669MEDIUMA missing authorization check in Brocade Fabric OS versions before 10.0.1 REST API interface of affected platform releases allows an authentEPSS 0.2%CVE-2026-18177HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.2%CVE-2025-62144MEDIUMWordPress Core Web Vitals & PageSpeed Booster plugin <= 1.0.28 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-107791MEDIUMWP Comment Cleaner 6.1 - 7.1 - Subscriber+ Bulk Comment Deletion via nav_delete_all_commentEPSS 0.2%CVE-2023-20909MEDIUMIn multiple functions of RunningTasks.java, there is a possible privilege escalation due to a missing privilege check. This could lead to loEPSS 0.2%CVE-2026-24996MEDIUMWordPress WPElemento Importer plugin <= 0.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-0998MEDIUMMattermost Zoom Plugin allows unauthorized meeting creation and post modification via insufficient API access controlsEPSS 0.2%CVE-2024-14032HIGHTwitch Studio LauncherHelper XPC Missing Authorization to Root File WriteEPSS 0.2%CVE-2022-42479MEDIUMWordPress Soledad premium theme <= 8.2.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-100388MEDIUMRustDesk before 1.5.0 Missing Authorization Check on Incoming File Clipboard MessagesEPSS 0.2%CVE-2026-25020MEDIUMWordPress WP Sync for Notion plugin <= 1.7.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24358MEDIUMWordPress Quiz And Survey Master plugin <= 10.3.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24371MEDIUMWordPress BA Book Everything plugin <= 1.8.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105698MEDIUMLangflow: Cross-user flow access and vertex execution via deprecated /api/v1/build/{flow_id}/vertices endpointsEPSS 0.2%