Fallos del tipo CWE-862

8585 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2026-47405HIGHPraisonAI Platform missing role checks let any workspace member become owner and take over workspace membershipEPSS 0.5%CVE-2026-6506HIGHInfusedWoo Pro <= 5.1.2 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via Arbitrary User Meta UpdateEPSS 0.5%CVE-2023-25715MEDIUMWordPress GamiPress Plugin <= 2.5.6 is vulnerable to Broken Access ControlEPSS 0.5%CVE-2022-43427MEDIUMJenkins Compuware Topaz for Total Test Plugin 2.4.8 and earlier does not perform permission checks in several HTTP endpoints, allowing attacEPSS 0.5%CVE-2026-7753MEDIUMCost Calculator Builder <= 3.6.17 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information DisclosureEPSS 0.5%CVE-2023-30873MEDIUMWordPress WP Docs plugin <= 1.9.8 - Broken Access ControlEPSS 0.5%CVE-2024-12006MEDIUMW3 Total Cache <= 2.8.1 Missing Authorization to Unauthenticated Plugin Deactivation and Extensions Activation/DeactivationEPSS 0.5%CVE-2024-4259MEDIUMSensetive Data Exposure in SAMPAS's AKOSEPSS 0.5%CVE-2023-2066MEDIUMAnnouncement & Notification Banner – Bulletin <= 3.6.0 - Missing Authorization ChecksEPSS 0.5%CVE-2024-2962MEDIUMNetworker - Tech News WordPress Theme with Dark Mode <= 1.1.9 - Missing AuthorizationEPSS 0.5%CVE-2026-33359HIGHMeari unauthenticated alert image access in cloud object storageEPSS 0.5%CVE-2026-92783HIGHYeti through 2.11.0 Missing Authorization on RBAC Relationship DeletionEPSS 0.5%CVE-2026-56825HIGHShopper: Missing authorization on product removal actions in CollectionProducts componentEPSS 0.5%CVE-2024-2797MEDIUMMailerLite – Signup forms (official) <= 1.7.6 - Missing AuthorizationEPSS 0.5%CVE-2026-13484LOWMLflow Experiment-scoped Label Schema CRUD API authorizationEPSS 0.5%CVE-2026-33501MEDIUMAVideo has Unauthenticated Information Disclosure of User Group Permission Mappings via Permissions PluginEPSS 0.5%CVE-2022-41807MEDIUMMissing authorization vulnerability exists in Kyocera Document Solutions MFPs and printers, which may allow a network-adjacent attacker to aEPSS 0.5%CVE-2026-4094HIGHFOX – Currency Switcher Professional for WooCommerce <= 1.4.5 - Missing Authorization to Authenticated (Contributor+) Configuration DeletionEPSS 0.5%CVE-2026-54076HIGHArcadeDB: Read-only users can mutate database schema (incomplete fix of CVE-2026-44221)EPSS 0.5%CVE-2023-2788MEDIUMDeactivated user can retain access using oauth2 apiEPSS 0.5%