Weaknesses of type CWE-862

8,930 results

Falta de verificação de autorização

O software permite que um usuário acesse recursos ou execute ações sem verificar se ele tem permissão para fazê-lo. É a brecha clássica onde o código autentifica (sabe quem é) mas não autoriza (valida se pode). Resultado: usuários comuns acessam dados sensíveis ou administrativos.

Example

Um sistema de e-commerce autentica o cliente, mas ao acessar /pedidos/123, não verifica se o pedido pertence àquele usuário — qualquer cliente logado vê qualquer pedido alheio. Ou um painel administrativo expõe endpoints que deleta contas, mas qualquer conta logada consegue chamar.

How to mitigate

Implemente verificação de autorização em todo endpoint ou ação sensível: valide não só identidade, mas permissões (roles, ACLs, policies). Use middleware ou decoradores (@RequireRole, @Authorize) e teste cenários onde usuários com privileégio baixo tentam acessar recursos alheios ou funções restritas.

CVE-2025-69188HIGHWordPress fitness-trainer plugin <= 1.7.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-68980MEDIUMWordPress WeDesignTech Portfolio plugin <= 1.0.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27423MEDIUMWordPress Participants Database plugin <= 2.7.8.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-82185MEDIUMWPLP Cookie Consent < 4.4.2 - Subscriber+ Banner Settings Overwrite and A/B Test Data ResetEPSS 0.3%CVE-2025-62152MEDIUMWordPress ConveyThis plugin <= 269.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-49349MEDIUMWordPress Reuters Direct plugin <= 3.0.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-9246MEDIUMImproper access control in the entry documentation and attachment features in Devolutions Server allows an authenticated user with vault reaEPSS 0.3%CVE-2026-57648MEDIUMWordPress Nelio Content plugin <= 4.3.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-3637MEDIUMMattermost fails to enforce create_post permission when editing postsEPSS 0.3%CVE-2026-16546MEDIUMWired Impact Volunteer Management < 2.8.2 - Subscriber+ Arbitrary RSVP Removal via wivm_remove_rsvpEPSS 0.3%CVE-2025-67577MEDIUMWordPress Easy Form Builder plugin <= 3.8.20 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-87831MEDIUMCheckout Field Manager < 7.9.7 - Subscriber+ Arbitrary Attachment Deletion via Customer Address Custom FieldEPSS 0.3%CVE-2025-68575MEDIUMWordPress Wappointment plugin <= 2.7.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-69193HIGHWordPress WP Membership plugin <= 1.6.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-36002MEDIUMITM Server Missing Authorization for URL validationEPSS 0.3%CVE-2025-67578MEDIUMWordPress WP Email Capture plugin <= 3.12.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39653MEDIUMWordPress Video Conferencing with Zoom plugin <= 4.6.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-68589MEDIUMWordPress WP Telegram Widget and Join Link plugin <= 2.2.12 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-68582MEDIUMWordPress Funnelforms Free plugin <= 3.8 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-48973MEDIUMWordPress SVG Support plugin <= 2.5.14 - Broken Access Control vulnerabilityEPSS 0.3%