Falhas do tipo CWE-862

9.829 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-6985MEDIUM10Web AI Assistant – AI content writing assistant <= 1.0.18 - Missing Authorization to Arbitrary Plugin InstallationEPSS 1.4%CVE-2023-30586HIGHA privilege escalation vulnerability exists in Node.js 20 that allowed loading arbitrary OpenSSL engines when the experimental permission moEPSS 1.3%CVE-2019-25142HIGHMesmerize <= 1.6.89 & Materialis <= 1.0.172 - Authenticated Arbitrary Options UpdateEPSS 1.3%CVE-2024-0679MEDIUMColorMag <= 3.1.2 - Missing Authorization to Arbitrary Plugin InstallationEPSS 1.3%CVE-2020-14306—An incorrect access control flaw was found in the operator, openshift-service-mesh/istio-rhel8-operator all versions through 1.1.3. This flaEPSS 1.3%CVE-2026-42461HIGHArcane Vulnerable to Unauthenticated Disclosure of Custom Compose Template Content (incl. `.env` secrets)EPSS 1.3%CVE-2026-28515CRITICALopenDCIM <= 23.04 Missing Authorization in install.phpEPSS 1.3%CVE-2021-4337HIGHMultiple XforWooCommerce Add-On Plugins (Various Versions) - Missing AuthorizationEPSS 1.3%CVE-2022-1777—Filr - Secure Document Library < 1.2.2.1 - Subscriber+ AJAX CallsEPSS 1.3%CVE-2024-12558MEDIUMWP BASE Booking of Appointments, Services and Events <= 4.9.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via app_export_dbEPSS 1.3%CVE-2024-50475CRITICALWordPress Signup Page plugin <= 1.0 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.3%CVE-2026-27604CRITICALFOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin FunctionsEPSS 1.3%CVE-2025-64403HIGHApache OpenOffice: Remote documents loaded without prompt via "external data sources" in CalcEPSS 1.3%CVE-2025-31182CRITICALThis issue was addressed with improved handling of symlinks. This issue is fixed in iOS 18.4 and iPadOS 18.4, macOS Sequoia 15.4, macOS SonoEPSS 1.3%CVE-2024-50476CRITICALWordPress GRÜN spendino Spendenformular plugin <= 1.0.1 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.3%CVE-2024-8289CRITICALMultiVendorX – The Ultimate WooCommerce Multivendor Marketplace Solution <= 4.2.0 - Missing Authorization to Limited Vendor Privilege Escalation/Account TakeoverEPSS 1.3%CVE-2025-64404HIGHApache OpenOffice: Remote documents loaded without prompt via background and bullet imagesEPSS 1.3%CVE-2021-24677—Find My Blocks < 3.4.0 - Private Post Titles DisclosureEPSS 1.3%CVE-2021-24501—Workreap theme < 2.2.2 - Missing Authorization Checks in Ajax ActionsEPSS 1.3%CVE-2022-0871HIGHMissing Authorization in gogs/gogsEPSS 1.2%