Falhas do tipo CWE-862

8.467 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-27505MEDIUMGeoServer Missing Authorization on REST API IndexEPSS 1.2%CVE-2020-14520—The affected product is vulnerable to an information leak, which may allow an attacker to obtain sensitive information on the Ignition 8 (alEPSS 1.2%CVE-2024-38353MEDIUMCodiMD - Missing Image Access Controls and Unauthorized Image AccessEPSS 1.1%CVE-2020-27220—The Eclipse Hono AMQP and MQTT protocol adapters do not check whether an authenticated gateway device is authorized to receive command & conEPSS 1.1%CVE-2026-3335MEDIUMCanto <= 3.1.1 - Missing Authorization to Unauthenticated File UploadEPSS 1.1%CVE-2020-36725HIGHTI WooCommerce Wishlist <= 1.21.11 and TI WooCommerce Wishlist Pro <= 1.21.4 - Arbitrary Options UpdateEPSS 1.1%CVE-2022-41238CRITICALA missing permission check in Jenkins DotCi Plugin 2.40.00 and earlier allows unauthenticated attackers to trigger builds of jobs correspondEPSS 1.1%CVE-2020-36902CRITICALUBICOD Medivision Digital Signage 1.5.1 Authorization Bypass via User PrivilegesEPSS 1.1%CVE-2023-49620—Apache DolphinScheduler: Authenticated users could delete UDFs in resource center they were not authorized forEPSS 1.1%CVE-2021-4341CRITICALuListing <= 1.6.6 - Unauthenticated Wordpress Options Changes via AJAXEPSS 1.1%CVE-2024-6071CRITICALPTC Creo Elements/Direct License Server Missing AuthorizationEPSS 1.1%CVE-2021-24353—Simple 301 Redirects by BetterLinks - 2.0.0 – 2.0.3 - Unauthenticated Redirect ImportEPSS 1.1%CVE-2019-3886MEDIUMAn incorrect permissions check was discovered in libvirt 4.8.0 and above. The readonly permission was allowed to invoke APIs depending on thEPSS 1.1%CVE-2018-7688HIGHOpen Build Service accepts arbitrary reviewsEPSS 1.1%CVE-2022-21660HIGHMissing authorization in gin-vue-adminEPSS 1.1%CVE-2025-11580MEDIUMPowerJob list authorizationEPSS 1.1%CVE-2023-36531MEDIUMWordPress LiquidPoll plugin <= 3.3.68 - Broken Access Control vulnerabilityEPSS 1.1%CVE-2022-4940HIGHWCFM Membership <= 2.10.0 - Missing AuthorizationEPSS 1.1%CVE-2021-22891—A missing authorization vulnerability exists in Citrix ShareFile Storage Zones Controller before 5.7.3, 5.8.3, 5.9.3, 5.10.1 and 5.11.18 mayEPSS 1.1%CVE-2020-25711—A flaw was found in infinispan 10 REST API, where authorization permissions are not checked while performing some server management operatioEPSS 1.1%