CWE-862
MITRE Отсутствие авторизации
Missing Authorization
CWE-862 — отсутствие авторизации: код не проверяет права пользователя перед доступом к ресурсу или операцией. Ошибка проявляется в веб-приложениях и API, где обработчик выполняет действие по идентификатору объекта из запроса без сверки с правами пользователя. Злоумышленник меняет идентификатор в запросе и получает чужие данные, недоступные функции или административные операции.
Как защититься от CWE-862
Чтобы защититься от CWE-862, разделите систему на зоны анонимного, обычного, привилегированного и административного доступа и сопоставьте роли с данными и функциями. Применяйте ролевое управление доступом (RBAC) и проверяйте права на сервере в каждом обработчике, сверяя запрошенный объект с полномочиями пользователя. Для веб-приложений требуйте активный сессионный токен с нужными правами и отключайте кэширование чувствительных страниц.
Уязвимости с типом CWE-862 (50)
С
6.9Уязвимость микропрограммного обеспечения промышленных программируемых IIoT-шлюзов Moxa AIG-302, связанная с недостатками2026-10-16 В
9.4Уязвимость функции MasterHandler.process_files_from_worker() платформы для мониторинга безопасности и обнаружения угроз 2026-10-13 В
7.8Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с недостатком процедуры авторизации, позволя2026-10-13 С
5.5Уязвимость службы трассировки (Windows Event Tracing) операционной системы Windows, позволяющая нарушителю проводить спу2026-10-13 В
8.7Уязвимость компонента wm_agent_upgrade платформы для мониторинга безопасности и обнаружения угроз Wazuh, позволяющая нар2026-10-13 К
8.8Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с недостатком процедуры авторизации, позволя2026-10-13 В
8.8Уязвимость веб-платформы для совместной работы и управления документами Microsoft SharePoint Server Subscription Edition2026-10-13 С
5.5Уязвимость службы AppX Deployment Service (AppXSVC) операционных систем Windows, позволяющая нарушителю повысить свои пр2026-10-13 С
7.7Уязвимость брокера событий Azure Event Grid, связанная с недостатками процедуры авторизации, позволяющая нарушителю пров2026-10-08 В
9.1Уязвимость веб-интерфейса управления локального сервера лицензирования Cisco License On-Prem (ранее Cisco Smart Software2026-10-07 В
9.9Уязвимость пакета для обеспечения совместимости Microsoft Azure Entra ID, связанная с отсутствием авторизации, позволяющ2026-09-08 С
7.8Уязвимость клиента службы обмена данными (Data Sharing Service Client) операционной системы Windows, позволяющая нарушит2026-09-08 В
9.1Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостатками процедуры авторизации, позволяющая нару2026-09-08 В
8.5Уязвимость платформы для управления данными Microsoft Fabric, связанная с отсутствием авторизации, позволяющая нарушител2026-09-08 С
7.8Уязвимость ядра операционных систем Windows, позволяющая нарушителю повысить свои привилегии2026-09-08 В
5.5Уязвимость операции конфигурации компонента Entity Store сервиса визуализации данных Kibana, позволяющая нарушителю полу2026-09-02 С
4.3Уязвимость сервиса визуализации данных Kibana, связанная с недостатками процедуры авторизации, позволяющая нарушителю по2026-09-01 С
4.3Уязвимость функции хранилища сущностей сервиса визуализации данных Kibana, позволяющая нарушителю получить несанкциониро2026-09-01 В
6.5Уязвимость компонента CORS веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю оказать воздействие на ц2026-08-28 Н
3.1Уязвимость пользовательского интерфейса WebUI браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить 2026-08-25 К
9.8Уязвимость функции patch_kernel_websocket_handler() Python-фреймворка Mercury, позволяющая нарушителю выполнить произвол2026-08-21 С
4.3Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю оказать 2026-08-16 В
8.1Уязвимость сервиса визуализации данных Kibana, связанная с недостатками процедуры авторизации, позволяющая нарушителю по2026-08-13 С
6.5Уязвимость компонента Elastic Defend сервиса визуализации данных Kibana, позволяющая нарушителю получить несанкционирова2026-08-13 В
7.5Уязвимость системы управления Git-репозиториями Gitea, связанная с недостатками процедуры авторизации, позволяющая наруш2026-08-13 В
7.1Уязвимость компонента Machine Learning сервиса визуализации данных Kibana, позволяющая нарушителю получить несанкциониро2026-08-13 С
4.3Уязвимость функции машинного обучения сервиса визуализации данных Kibana, позволяющая нарушителю повысить свои привилеги2026-08-13 В
7.2Уязвимость механизма логического декодирования (logical decoding) системы управления базами данных PostgreSQL, позволяющ2026-08-13 В
7.6Уязвимость состояния для потока адаптации в Observability Onboarding сервиса визуализации данных Kibana, позволяющая нар2026-08-13 С
4.3Уязвимость DDL-команд системы управления базами данных PostgreSQL, позволяющая нарушителю вызвать отказ в обслуживании2026-08-13 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с недостатками процедуры авторизации, позволяющая нарушителю по2026-08-13 С
4.8Уязвимость компонента DevTools веб-браузера Google Chrome, позволяющая нарушителю получить доступ к защищаемой информаци2026-08-12 В
10.0Уязвимость корпоративной платформы Microsoft Teams, связанная с отсутствием авторизации, позволяющая нарушителю повысить2026-08-06 В
9.9Уязвимость инструмента на базе искусственного интеллекта для автоматического анализа первопричин и эффективного реагиров2026-08-06 С
4.3Уязвимость компонента register.php веб-приложения phpMyFAQ, позволяющая нарушителю обойти существующие ограничения безоп2026-08-04 В
9.9Уязвимость файла cmd/incusd/instance_post.go системы управления контейнерами и менеджера виртуальных машин Incus, позвол2026-07-31 В
8.1Уязвимость компонента Extensions веб-браузера Google Chrome, позволяющая нарушителю получить доступ к защищаемой информа2026-07-29 С
4.3Уязвимость API отчётов о тестировании CI/CD-конвейеров Pipeline Test Report API программной платформы на базе git для со2026-07-29 С
4.9Уязвимость обработчика конфигурации защищённых веток Protected Branches программной платформы на базе git для совместной2026-07-29 Н
3.1Уязвимость компонента Storage веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к защ2026-07-28 Н
3.3Уязвимость метода delete_alert() системной службы для диагностирования блокировки безопасности SELinux setroubleshoot, п2026-07-23 С
6.4Уязвимость метода ProcessFiles() фоновой службы fleet-commander-client, позволяющая нарушителю повысить свои привилегии 2026-07-23 С
4.3Уязвимость сервиса визуализации данных Kibana, связанная с недостатками процедуры авторизации, позволяющая нарушителю по2026-07-22 С
4.3Уязвимость механизма разграничения доступа сервиса визуализации данных Kibana, позволяющая нарушителю получить несанкцио2026-07-22 Н
4.4Уязвимость сервиса input-remapper.service инструмента для управления устройствами ввода input-remapper, позволяющая нару2026-07-22 С
6.3Уязвимость компонента Cloud Connect сервиса визуализации данных Kibana, позволяющая нарушителю оказать воздействие на ко2026-07-22 В
9.1Уязвимость программного обеспечения для безопасного обмена и передачи файлов SolarWinds Serv-U, связанная с недостатками2026-07-21 В
9.1Уязвимость программного обеспечения для безопасного обмена и передачи файлов SolarWinds Serv-U, связанная с недостатками2026-07-21 В
6.5Уязвимость компонента DOM веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к защищае2026-07-21 С
5.4Уязвимость компонента NFC веб-браузера Google Chrome, позволяющая нарушителю получить доступ к защищаемой информации и н2026-07-18Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-862 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
