Fallos del tipo CWE-862

8452 resultados

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para isso. O código autentica (confirma quem é), mas não autoriza (verifica o que pode fazer). Resultado: qualquer autenticado pode fazer o que quiser — ler dados de outros usuários, deletar registros, alterar configurações.

Ejemplo

Uma API de banco de dados que autentica o cliente via token JWT, mas retorna qualquer registro solicitado sem checar se o usuário é dono do dado. Um usuário autenticado consegue consultar CPF, conta bancária e extrato de qualquer outro cliente apenas mudando um parâmetro ID na requisição.

Cómo mitigar

Implemente controle de acesso em cada operação sensível: antes de retornar um recurso, valide se o usuário autenticado tem permissão (via papel, proprietário, ou ACL). Use um padrão consistente — biblioteca de autorização, middleware ou serviço centralizado — para não deixar brechas espalhadas no código.

CVE-2021-4370CRITICALuListing <= 1.6.6 - Missing AuthorizationEPSS 1.4%CVE-2021-4381CRITICALuListing <= 1.6.6 - Unauthenticated Options Changes via wp_routeEPSS 1.4%CVE-2021-4343CRITICALuListing <= 1.6.6 - Unauthenticated Arbitrary Account CreationEPSS 1.4%CVE-2021-4448HIGHKaswara Modern VC Addons <= 3.0.1 - Missing AuthorizationEPSS 1.4%CVE-2021-21326HIGHHorizontal Privilege EscalationEPSS 1.4%CVE-2024-25092HIGHWordPress NextMove Lite plugin <= 2.17.0 - Subscriber+ Arbitrary Plugin Installation/Activation vulnerabilityEPSS 1.4%CVE-2022-4950HIGHCool Plugins (Various Versions) - Arbitrary Plugin Installation and ActivationEPSS 1.4%CVE-2021-25075—Duplicate Page or Post < 1.5.1 - Arbitrary Settings Update to Stored XSSEPSS 1.4%CVE-2023-6985MEDIUM10Web AI Assistant – AI content writing assistant <= 1.0.18 - Missing Authorization to Arbitrary Plugin InstallationEPSS 1.4%CVE-2023-30586HIGHA privilege escalation vulnerability exists in Node.js 20 that allowed loading arbitrary OpenSSL engines when the experimental permission moEPSS 1.3%CVE-2024-12542HIGHlinkID <= 0.1.2 - Missing Authorization to Unauthenticated Sensitive Information ExposureEPSS 1.3%CVE-2022-1245—A privilege escalation flaw was found in the token exchange feature of keycloak. Missing authorization allows a client application holding aEPSS 1.3%CVE-2019-25142HIGHMesmerize <= 1.6.89 & Materialis <= 1.0.172 - Authenticated Arbitrary Options UpdateEPSS 1.3%CVE-2024-0679MEDIUMColorMag <= 3.1.2 - Missing Authorization to Arbitrary Plugin InstallationEPSS 1.3%CVE-2020-14306—An incorrect access control flaw was found in the operator, openshift-service-mesh/istio-rhel8-operator all versions through 1.1.3. This flaEPSS 1.3%CVE-2026-42461HIGHArcane Vulnerable to Unauthenticated Disclosure of Custom Compose Template Content (incl. `.env` secrets)EPSS 1.3%CVE-2021-4337HIGHMultiple XforWooCommerce Add-On Plugins (Various Versions) - Missing AuthorizationEPSS 1.3%CVE-2022-1777—Filr - Secure Document Library < 1.2.2.1 - Subscriber+ AJAX CallsEPSS 1.3%CVE-2026-55440MEDIUMMicrosoft UFO: COMMAND_RESULTS handler creates unowned sessions, allowing authenticated session-squatting denial of serviceEPSS 1.3%CVE-2024-50475CRITICALWordPress Signup Page plugin <= 1.0 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.3%