Fallos del tipo CWE-862

8452 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2024-30464MEDIUMWordPress Social Icons Widget & Block by WPZOOM plugin <= 4.2.15 - Broken Access Control vulnerabilityEPSS 1.5%CVE-2021-24977—Use Any Font < 6.2.1 - Unauthenticated Arbitrary CSS AppendingEPSS 1.5%CVE-2021-24906—Protect WP Admin < 3.6.2 - Unauthenticated Plugin DeactivationEPSS 1.5%CVE-2024-43998MEDIUMWordPress Blogpoet theme <= 1.0.3 - Broken Access Control vulnerabilityEPSS 1.5%CVE-2022-41326CRITICALThe web conferencing component of Mitel MiCollab through 9.6.0.13 could allow an unauthenticated attacker to upload arbitrary scripts due toEPSS 1.5%CVE-2021-24354—Simple 301 Redirects by BetterLinks - 2.0.0-2.0.3 - Arbitrary Plugin InstallationEPSS 1.5%CVE-2023-6700HIGHCookie Information | Free GDPR Consent Solution <= 2.0.22 - Authenticated (Subscriber+) Arbitrary Options UpdateEPSS 1.5%CVE-2024-31987CRITICALXWiki Platform remote code execution from account via custom skins supportEPSS 1.4%CVE-2024-31981CRITICALXWiki Platform: Privilege escalation (PR) from user registration through PDFClassEPSS 1.4%CVE-2024-31983CRITICALXWiki Platform: Remote code execution from edit in multilingual wikis via translationsEPSS 1.4%CVE-2015-10140HIGHAjax Load More < 2.8.1.2 - Subscriber+ File Upload & DeletionEPSS 1.4%CVE-2023-5311HIGHWP EXtra <= 6.2 - Missing Authorization to .htaccess File ModificationEPSS 1.4%CVE-2021-24184—Tutor LMS < 1.7.7 - Unprotected AJAX including Privilege EscalationEPSS 1.4%CVE-2022-27948HIGHCertain Tesla vehicles through 2022-03-26 allow attackers to open the charging port via a 315 MHz RF signal containing a fixed sequence of aEPSS 1.4%CVE-2024-5326HIGHPost Grid Gutenberg Blocks and WordPress Blog Plugin – PostX <= 4.1.2 - Missing Authorization to Arbitrary Options UpdateEPSS 1.4%CVE-2017-2652—It was found that there were no permission checks performed in the Distributed Fork plugin before and including 1.5.0 for Jenkins that proviEPSS 1.4%CVE-2023-38102HIGHNETGEAR ProSAFE Network Management System createUser Missing Authorization Privilege Escalation VulnerabilityEPSS 1.4%CVE-2025-64405HIGHApache OpenOffice: Remote documents loaded without prompt via DDE functionEPSS 1.4%CVE-2026-27771HIGHGitea Composer package source links use insufficient permission checksEPSS 1.4%CVE-2023-31047CRITICALIn Django 3.2 before 3.2.19, 4.x before 4.1.9, and 4.2 before 4.2.1, it was possible to bypass validation when using one form field to uploaEPSS 1.4%