Fallos del tipo CWE-862

9259 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2025-15066MEDIUMArbitrary File Download through Path Traversal in Innorix WPEPSS 0.2%CVE-2026-104675MEDIUMWordPress Event Tickets plugin <= 5.30.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-22607MEDIUMCoolify Vulnerable to GitHub / GitLab OAuth Secrets LeakEPSS 0.2%CVE-2024-43090MEDIUMIn multiple locations, there is a possible cross-user image read due to a missing permission check. This could lead to local information disEPSS 0.2%CVE-2025-68087MEDIUMWordPress Modalier for Elementor plugin <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-12843MEDIUMLearnDash LMS 4.25.0 - 5.1.6 - Unauthenticated Arbitrary Course Enrollment via REST EndpointEPSS 0.2%CVE-2022-20511MEDIUMIn getNearbyAppStreamingPolicy of DevicePolicyManagerService.java, there is a missing permission check. This could lead to local informationEPSS 0.2%CVE-2026-86851MEDIUMLivees Checkout 6.8 - 7.0.2 - Unauthenticated Order Status Change, Order Note Injection & Order Key DisclosureEPSS 0.2%CVE-2025-68603MEDIUMWordPress Editorial Calendar plugin <= 3.8.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68085MEDIUMWordPress Buttoner for Elementor plugin <= 1.0.6 - Settings Change vulnerabilityEPSS 0.2%CVE-2025-68086MEDIUMWordPress Reformer for Elementor plugin <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68088MEDIUMWordPress Huger for Elementor plugin <= 1.1.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-20522HIGHIn getSlice of ProviderModelSlice.java, there is a missing permission check. This could lead to local escalation of privilege from the guestEPSS 0.2%CVE-2026-82184MEDIUMWPLP Cookie Consent < 4.4.2 - Unauthenticated IAB TCF Consent Option UpdateEPSS 0.2%CVE-2022-38698HIGHIn messaging service, there is a missing permission check. This could lead to elevation of privilege in contacts service with no additional EPSS 0.2%CVE-2026-7859MEDIUMMotors Car Dealership & Classified Listings < 1.4.110 - Unauthenticated Post-Meta Write via stm_ajax_add_a_car_mediaEPSS 0.2%CVE-2026-14460HIGHMissing Authorization in TUBITAK BILGEM's pardus-softwareEPSS 0.2%CVE-2022-39109HIGHIn Music service, there is a missing permission check. This could lead to elevation of privilege in Music service with no additional executiEPSS 0.2%CVE-2022-39080HIGHIn messaging service, there is a missing permission check. This could lead to elevation of privilege in contacts service with no additional EPSS 0.2%CVE-2022-39110HIGHIn Music service, there is a missing permission check. This could lead to elevation of privilege in Music service with no additional executiEPSS 0.2%