Fallos del tipo CWE-862

8451 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2021-27858MEDIUMMissing authorization vulnerability in FatPipe softwareEPSS 2.7%CVE-2024-7135MEDIUMTainacan <= 0.21.7 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File ReadEPSS 2.7%CVE-2025-2075HIGHUncanny Automator <= 6.3.0.2 - Missing Authorization to Authenticated (Subscriber+) Privilege EscalationEPSS 2.7%CVE-2022-2846MEDIUMCalendar Event Multi View < 1.4.07 - Unauthenticated Arbitrary Event Creation to Stored XSSEPSS 2.6%CVE-2009-3168HIGHMevin Productions Basic PHP Events Lister 2.0 does not properly restrict access to (1) admin/reset.php and (2) admin/user_add.php, which allEPSS 2.6%CVE-2026-22683HIGHWindmill < 1.615.0 Operator Role Missing Authorization Checks RCEEPSS 2.6%CVE-2021-24356—Simple 301 Redirects by BetterLinks - 2.0.0 – 2.0.3 - Arbitrary Plugin ActivationEPSS 2.6%CVE-2021-39236—Owners of the S3 tokens are not validatedEPSS 2.6%CVE-2015-10143CRITICALPlatform < 1.4.4 - Missing Authorization to Unauthenticated Arbitrary Options UpdateEPSS 2.6%CVE-2022-27480—A vulnerability has been identified in SICAM A8000 CP-8031 (All versions < V4.80), SICAM A8000 CP-8050 (All versions < V4.80). Affected deviEPSS 2.5%CVE-2024-0324HIGHUser Profile Builder <= 3.10.8 - Missing Authorization to Plugin Settings Change via wppb_two_factor_authentication_settings_updateEPSS 2.4%CVE-2021-39231—Missing authentication/authorization on internal RPC endpointsEPSS 2.4%CVE-2024-10783HIGHMainWP Child <= 5.3.3 - Missing Authorization to Unauthenticated Privilege EscalationEPSS 2.4%CVE-2020-28215—A CWE-862: Missing Authorization vulnerability exists in Easergy T300 (firmware 2.7 and older), that could cause a wide range of problems, iEPSS 2.3%CVE-2024-2771CRITICALContact Form Plugin by Fluent Forms for Quiz, Survey, and Drag & Drop WP Form Builder <= 5.1.16 - Missing Authorization to Settings Update and Limited Privilege EscalationEPSS 2.3%CVE-2020-36730HIGHCMP <= 3.8.1 - Missing AuthorizationEPSS 2.3%CVE-2021-21327MEDIUMUnsafe Reflection in getItemForItemtype()EPSS 2.3%CVE-2020-22007MEDIUMOS Command Injection vulnerability in OKER G955V1 v1.03.02.20161128, allows physical attackers to interrupt the boot sequence and execute arEPSS 2.3%CVE-2021-47812CRITICALGravCMS 1.10.7 - Arbitrary YAML Write/Update (Unauthenticated) (2)EPSS 2.2%CVE-2025-13342CRITICALFrontend Admin by DynamiApps <= 3.28.20 - Unauthenticated Arbitrary Options UpdateEPSS 2.2%