Fallos del tipo CWE-862

9295 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-0133HIGHIn smmu_attach_dev of arm-smmu-v3.c, there is a possible way to sign malicious Android Runtime bootclass artifacts due to a missing permissiEPSS 0.1%CVE-2026-0057LOWIn Contacts Provider, there is a possible way to access an incoming call's phone number and associated metadata due to a missing permission EPSS 0.1%CVE-2026-0054LOWIn isCallerAllowed of WalletContextualLocationsService.kt, there is a possible way to get wallet information due to a missing permission cheEPSS 0.1%CVE-2026-25267HIGHMissing Authorization in CoreEPSS 0.1%CVE-2026-97712HIGHNexus Repository 3 - Privilege Escalation via Role ManagementEPSS —CVE-2026-110360MEDIUMWordPress Ajax Search Lite plugin <= 4.14.5 - Broken Access Control vulnerabilityEPSS —CVE-2026-46691MEDIUMEspoCRM: IDOR in Import exportErrors Endpoint Leaks CSV Data of Other UsersEPSS —CVE-2026-109897MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —CVE-2026-111353MEDIUMPeppermint through 0.5.5 Missing Authorization via Time-Tracking and Attachment Upload EndpointsEPSS —CVE-2026-111350LOWPapermark through 0.22.0 Missing Authorization in Data Room Viewer Group APIEPSS —CVE-2026-97665HIGHNexus Repository 3 - Missing Authorization on NuGet Symbol Package UploadEPSS —CVE-2026-110362MEDIUMWordPress PlanetStudio Payment Gateway plugin <= 1.3.3 - Broken Access Control vulnerabilityEPSS —CVE-2026-46694MEDIUMEspoCRM: Portal User ACL Bypass Exposes Internal Stream NotesEPSS —CVE-2026-111235CRITICALOpenNMS REST authorization bypass via non-canonical HTTP methodEPSS —CVE-2026-92629HIGHA potential improper authorization vulnerability was reported in Lenovo Baiying PC Client, distributed exclusively in the Chinese market, thEPSS —CVE-2026-109812MEDIUMMissing Authorization on Secret EndpointsEPSS —CVE-2026-110371MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —CVE-2026-110364MEDIUMWordPress Flexible Quantity – Measurement Price Calculator for WooCommerce plugin <= 2.3.23 - Broken Access Control vulnerabilityEPSS —CVE-2026-96449MEDIUMWordPress WP EasyPay plugin <= 4.5.4 - Broken Access Control vulnerabilityEPSS —CVE-2026-111349MEDIUMCraftplan through 0.7.5 Missing Authorization via CRM Customer JSON:API and GraphQLEPSS —