Falhas do tipo CWE-862

8.660 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-5693MEDIUMSmart Appointment & Booking <= 1.0.8 - Missing Authorization to Unauthenticated Arbitrary Booking CancellationEPSS 0.4%CVE-2026-9187MEDIUMAbandoned Contact Form 7 <= 2.2 - Missing Authorization to Unauthenticated Arbitrary Post Deletion via 'recover_id' ParameterEPSS 0.4%CVE-2024-31375MEDIUMWordPress WP2LEADS plugin <= 3.2.7 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-94213MEDIUMKeycloak-services: keycloak-services: authorization services policy evaluation endpoint leaks user identityEPSS 0.4%CVE-2023-1903MEDIUMMissing Authorization check in SAP HCM Fiori App My Forms (Fiori 2.0)EPSS 0.4%CVE-2024-48044MEDIUMWordPress ShortPixel Image Optimizer plugin <= 5.6.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-12184MEDIUMWordPress Contact Forms by Cimatti <= 1.9.4 - Missing Authorization to Unauthenticated Form Submission DownloadEPSS 0.4%CVE-2026-8617MEDIUMSearchPlus <= 1.7.1 - Missing Authorization to Unauthenticated Settings Modification and Deletion via searchplus_save_token & searchplus_reset_token AJAX ActionsEPSS 0.4%CVE-2024-43120MEDIUMWordPress TypeSquare Webfonts plugin <= 2.0.7 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2025-22610MEDIUMCoolify Vulnerable to OAuth Secrets LeakEPSS 0.4%CVE-2026-8616MEDIUMFense Proxy & VPN Blocker <= 3.0.1 - Missing Authorization to Unauthenticated Plugin Option/Transient Deletion via fense_bpvt_save_settings AJAX ActionEPSS 0.4%CVE-2024-31243HIGHWordPress Bricksforge plugin <= 2.0.17 - Unauthenticated Arbitrary WordPress Setting Deletion vulnerabilityEPSS 0.4%CVE-2026-9172MEDIUMDevs Accounting <= 1.2.0 - Missing Authorization to Unauthenticated Account Deletion via /delete-account/ REST EndpointEPSS 0.4%CVE-2025-15041HIGHBackWPup <= 5.6.2 - Authenticated (BackWPup Helper+) Privilege Escalation via Arbitrary Options UpdateEPSS 0.4%CVE-2026-44569HIGHOpen WebUI: Insecure Message Access Breaks AuthorizationEPSS 0.4%CVE-2026-3642MEDIUMe-shot <= 1.0.2 - Missing Authorization to Authenticated (Subscriber+) Form Settings Modification via AJAXEPSS 0.4%CVE-2023-35052MEDIUMWordPress Directorist plugin <= 7.5.4 - Arbitrary Content Deletion vulnerabilityEPSS 0.4%CVE-2025-39536HIGHWordPress JobHunt Job Alerts <= 3.6 - Arbitrary Content Deletion VulnerabilityEPSS 0.4%CVE-2025-22512MEDIUMWordPress Help Scout Plugin <= 6.5.6 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-1340MEDIUMLogin Lockdown – Protect Login Form <= 2.08 - Missing AuthorizationEPSS 0.4%