Fallos del tipo CWE-862

8585 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2024-1169HIGHPost Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) <= 2.8.7 - Missing Authorization to Unauthenticated Media UploadEPSS 0.6%CVE-2023-40027LOWConditionally missing authorization in @keystone-6/coreEPSS 0.6%CVE-2024-3601MEDIUMPoll Maker – Best WordPress Poll Plugin <= 5.1.8 - Missing Authorization to Unauthenticated Email EnumerationEPSS 0.6%CVE-2026-52766CRITICALYesWiki: Unauthenticated arbitrary page deletion via `{{erasespamedcomments}}` actionEPSS 0.6%CVE-2024-1587MEDIUMNewsmatic <= 1.3.4 - Unauthenticated Information Exposure via newsmatic_filter_posts_load_tab_contentEPSS 0.6%CVE-2023-25060MEDIUMWordPress Album and Image Gallery plus Lightbox plugin <= 1.6.2 - Broken Access Control vulnerabilityEPSS 0.6%CVE-2026-10034MEDIUMWP DSGVO Tools (GDPR) <= 3.1.39 - Missing Authorization to Unauthenticated Sensitive Personal Data Disclosure via subject-access-request AJAX Endpoint (process_now/is_ajax Parameters)EPSS 0.6%CVE-2026-7552MEDIUMGeo Mashup <= 1.13.19 - Missing Authorization to Unauthenticated Plugin Settings Disclosure via 'geo_mashup_content' ParameterEPSS 0.6%CVE-2024-10528MEDIUMUltimate Member <= 2.8.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary User Profile Picture UpdateEPSS 0.6%CVE-2026-13459MEDIUMJetFormBuilder <= 3.6.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'context' ParameterEPSS 0.6%CVE-2026-15397HIGHSubscriptions for WooCommerce <= 2.0.0 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Plugin Installation via wps_sfw_install_plugin_configuration AJAX ActionEPSS 0.6%CVE-2024-0385MEDIUMCategorify <= 1.0.7.4 - Missing Authorization in categorifyAjaxAddCategoryEPSS 0.6%CVE-2024-12822CRITICALMedia Manager for UserPro <= 3.12.0 - Missing Authorization to Unauthenticated Arbitrary Options UpdateEPSS 0.6%CVE-2024-31358HIGHWordPress 5 Stars Rating Funnel plugin <= 1.2.67 - Arbitrary Content Deletion vulnerabilityEPSS 0.6%CVE-2026-34042HIGHact: actions/cache server allows malicious cache injectionEPSS 0.6%CVE-2024-10813MEDIUMProduct Table for WooCommerce by CodeAstrology (wooproducttable.com) <= 3.5.1 - Information ExposureEPSS 0.6%CVE-2026-86177HIGHPterodactyl Panel before 1.14.1 Privilege Escalation via Schedule TasksEPSS 0.6%CVE-2026-3614HIGHAcyMailing 9.11.0 - 10.8.1 - Missing Authorization to Authenticated (Subscriber+) Privilege EscalationEPSS 0.6%CVE-2026-4792MEDIUMBread <= 2.9.12 - Missing Authorization to Unauthenticated Information ExposureEPSS 0.6%CVE-2022-2696MEDIUMRestaurant Menu – Food Ordering System – Table Reservation <= 2.3.0 - Missing Authorization on AJAX ActionsEPSS 0.6%