Falhas do tipo CWE-862

10.119 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-1499HIGHWP Duplicate <= 1.1.8 - Authenticated (Subscriber+) Arbitrary File Upload via 'process_add_site' AJAX ActionEPSS 1.0%CVE-2025-50171CRITICALRemote Desktop Spoofing VulnerabilityEPSS 1.0%CVE-2022-2732HIGHMissing Authorization in openemr/openemrEPSS 1.0%CVE-2024-30485HIGHWordPress Finale Lite plugin <= 2.18.0 - Subscriber+ Arbitrary Plugin Installation/Activation vulnerabilityEPSS 1.0%CVE-2018-10865—It was discovered that the /configuration view of redhat-certification 7 does not perform an authorization check and it allows an unauthentiEPSS 1.0%CVE-2026-41315CRITICALmdserver-web: Missing Authorization and Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')EPSS 1.0%CVE-2025-31194CRITICALAn authentication issue was addressed with improved state management. This issue is fixed in macOS Sequoia 15.4, macOS Sonoma 14.7.5, macOS EPSS 1.0%CVE-2022-22111HIGHDayByDay CRM - Missing Authorization when Changing PasswordEPSS 1.0%CVE-2024-13767HIGHLive2DWebCanvas <= 1.9.11 - Authenticated (Subscriber+) Arbitrary File DeletionEPSS 1.0%CVE-2023-1337MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'clear_uucss_logs'EPSS 1.0%CVE-2026-108123HIGHWP Booking System <= 2.1.0.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'wpbs_action=email_logs' ActionEPSS 1.0%CVE-2022-25810—Transposh WordPress Translation <= 1.0.8 - Subscriber+ Unauthorised CallsEPSS 1.0%CVE-2023-22701HIGHWordPress Ebook Store plugin <= 5.775 - Broken Authentication vulnerabilityEPSS 1.0%CVE-2024-6806CRITICALMissing Authorization Checks In NI VeriStand Gateway For Project ResourcesEPSS 1.0%CVE-2022-0932MEDIUMMissing Authorization in saleor/saleorEPSS 1.0%CVE-2025-30448CRITICALThis issue was addressed with additional entitlement checks. This issue is fixed in iOS 18.5 and iPadOS 18.5, iPadOS 17.7.7, macOS Sequoia 1EPSS 1.0%CVE-2024-23752CRITICALGenerateSDFPipeline in synthetic_dataframe in PandasAI (aka pandas-ai) through 1.5.17 allows attackers to trigger the generation of arbitrarEPSS 1.0%CVE-2021-4357CRITICALuListing <= 1.6.6 - Unauthenticated Arbitrary Post/Page DeletionEPSS 1.0%CVE-2022-27669—An unauthenticated user can use functions of XML Data Archiving Service of SAP NetWeaver Application Server for Java - version 7.50, to whicEPSS 1.0%CVE-2023-45828MEDIUMWordPress RumbleTalk Live Group Chat plugin <= 6.2.5 - Broken Access Control vulnerabilityEPSS 1.0%