Fallos del tipo CWE-862

8583 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2023-27304—Operation restriction bypass vulnerability in Message and Bulletin of Cybozu Garoon 4.6.0 to 5.9.2 allows a remote authenticated attacker toEPSS 0.5%CVE-2023-2084MEDIUMEssential Blocks <= 4.0.6 - Missing Authorization via getEPSS 0.5%CVE-2026-15293HIGHWP Business Intelligence Lite <= 3.2.0 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via Arbitrary SQL ModificationEPSS 0.5%CVE-2025-27296HIGHWordPress Auto Ad Inserter – Increase Google Adsense and Ad Manager Revenue Plugin <= 1.5 - Settings Change vulnerabilityEPSS 0.5%CVE-2026-32270LOWCraft Commerce: Unauthenticated information disclosure in `commerce/payments/pay` can leak some customer order data on anonymous paymentsEPSS 0.5%CVE-2023-48273MEDIUMWordPress Preloader for Website plugin <= 1.2.2 - Unauthenticated Broken Access Control vulnerabilityEPSS 0.5%CVE-2022-2450MEDIUMreSmush.it Image Optimizer < 0.4.4 - Subscriber+ AJAX CallsEPSS 0.5%CVE-2026-79665HIGHEch0 before 4.5.1 Authorization Bypass via Session TokensEPSS 0.5%CVE-2023-33995MEDIUMWordPress Photo Gallery by 10Web plugin <= 1.8.15 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2026-71252HIGHtoner-management - Unauthenticated State-Changing Admin ActionsEPSS 0.5%CVE-2023-25766MEDIUMA missing permission check in Jenkins Azure Credentials Plugin 253.v887e0f9e898b and earlier allows attackers with Overall/Read permission tEPSS 0.5%CVE-2026-49367HIGHIn JetBrains IntelliJ IDEA before 2026.1.1 command execution was possible via the guest user accountEPSS 0.5%CVE-2026-58473CRITICALCognee < 1.2.0 Unauthorized LLM Configuration Overwrite via /api/v1/settingsEPSS 0.5%CVE-2023-49818MEDIUMWordPress Webflow Pages plugin <= 1.0.8 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2023-33928MEDIUMWordPress WordPress Backup & Migration plugin <= 1.4.0 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2026-89054HIGHOpenNMS missing authorization on /api/v2 PATCH endpoints allows unauthenticated configuration changesEPSS 0.5%CVE-2024-1177MEDIUMWP Club Manager – WordPress Sports Club Plugin <= 2.2.10 - Missing Authorization to Unauthenticated Event Permalink UpdateEPSS 0.5%CVE-2026-8934MEDIUMCross-Project Information Leakage in Google App Engine UIEPSS 0.5%CVE-2026-77128MEDIUMBroken Access Control in extension "Event management and registration" (sf_event_mgt)EPSS 0.5%CVE-2026-7051MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.9.0 - Missing Authorization to Authenticated (Subscriber+) Delete Arbitrary B2S Post Records via 'postId' ParameterEPSS 0.5%