Fallos del tipo CWE-862

9259 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2022-20522HIGHIn getSlice of ProviderModelSlice.java, there is a missing permission check. This could lead to local escalation of privilege from the guestEPSS 0.2%CVE-2026-14460HIGHMissing Authorization in TUBITAK BILGEM's pardus-softwareEPSS 0.2%CVE-2026-7859MEDIUMMotors Car Dealership & Classified Listings < 1.4.110 - Unauthenticated Post-Meta Write via stm_ajax_add_a_car_mediaEPSS 0.2%CVE-2026-100289MEDIUMMissing authorization in the gateway network scan token API in Devolutions Server 2026.3.5.0 and earlier allows an authenticated low-privileEPSS 0.2%CVE-2026-39783MEDIUMWordPress Polylang plugin <= 3.8.7 - Sensitive Data Exposure vulnerabilityEPSS 0.2%CVE-2022-39861MEDIUMUnprotected Receiver in AtBroadcastReceiver in FactoryCamera prior to version 3.5.51 allows attackers to record video without camera privileEPSS 0.2%CVE-2026-39779MEDIUMWordPress Asgaros Forum plugin <= 3.4.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109896MEDIUMWordPress Download Monitor integration for WooCommerce plugin <= 1.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64323MEDIUMkgateway is missing xDS authorizationEPSS 0.2%CVE-2026-105062MEDIUMWordPress WP Admin Audit plugin <= 1.2.17 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-97648MEDIUMningzichun student-management-system cross-site request forgeryEPSS 0.2%CVE-2026-19081MEDIUMMissing Authorization Allows Unauthorized Access to Critical POS Functions in Gastromenum's Gastromenum Ticket and QR Menu SystemEPSS 0.2%CVE-2023-21094HIGHIn sanitize of LayerState.cpp, there is a possible way to take over the screen display and swap the display content due to a missing permissEPSS 0.2%CVE-2026-106425MEDIUMMissing authorization in BrowserTag in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer proceEPSS 0.2%CVE-2026-66109HIGHA missing authorization vulnerability exists in SKYSEA Client View and SKYMEC IT Manager. If this vulnerability is exploited, an attacker whEPSS 0.2%CVE-2026-3253MEDIUMMailerLite – Signup forms (official) <= 1.7.21 - Missing Authorization to Authenticated (Contributor+) Form Creation and DeletionEPSS 0.2%CVE-2025-8886MEDIUMAuthorization Bypass in Usta Information Systems' Aybs InteraktifEPSS 0.2%CVE-2026-100854MEDIUMAzuraCast before 0.23.6 Metadata Injection via Liquidsoap APIEPSS 0.2%CVE-2023-48684HIGHSensitive information disclosure and manipulation due to missing authorization. The following products are affected: Acronis Cyber Protect CEPSS 0.2%CVE-2026-106369MEDIUMMissing authorization in Translate in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer procesEPSS 0.2%