Falhas do tipo CWE-862

8.660 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2024-50423MEDIUMWordPress Templately plugin <= 3.1.5 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-44019MEDIUMWordPress Contact Form 7 Campaign Monitor Extension plugin <= 0.4.67 - Arbitrary File Deletion vulnerabilityEPSS 0.4%CVE-2023-47836MEDIUMWordPress WP Meta and Date Remover plugin <= 2.3.0 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-12113MEDIUMAppointment Booking Calendar <= 1.4.02 - Missing Authorization to Authenticated (Contributor+) Sensitive Information DisclosureEPSS 0.4%CVE-2024-37439MEDIUMWordPress Uncanny Toolkit Pro for LearnDash plugin < 4.1.4.1 - Subscriber+ Arbitrary Post/Page Duplication vulnerabilityEPSS 0.4%CVE-2026-15026MEDIUMImport and export users and customers <= 2.4.0 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via email_template_selected AJAX ActionEPSS 0.4%CVE-2024-32142MEDIUMWordPress Ovic Responsive WPBakery plugin <= 1.3.0 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-35663MEDIUMWordPress WP Translate plugin <= 5.3.0 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2023-27607MEDIUMWordPress Points and Rewards for WooCommerce plugin <= 1.5.0 - Settings Change vulnerabilityEPSS 0.4%CVE-2025-68007MEDIUMWordPress Event Espresso 4 Decaf plugin <= 5.0.37.decaf - Settings Change vulnerabilityEPSS 0.4%CVE-2026-11600MEDIUMEnvo's Templates & Widgets for Elementor and WooCommerce <= 1.4.26 - Missing Authorization to Authenticated (Author+) Private Content Disclosure via Envo Tabs Widget 'templates' SettingEPSS 0.4%CVE-2026-47197HIGHQuest Bot: Discord moderation role hierarchy bypass in ban, kick, mute, unmute, warn, and nickname commandsEPSS 0.4%CVE-2024-37207MEDIUMWordPress Demo Awesome plugin <= 1.0.2 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-33547HIGHWordPress WZone plugin <= 14.0.10 - Site Wide Broken Access Control vulnerabilityEPSS 0.4%CVE-2023-31080HIGHWordPress Unlimited Elements For Elementor plugin <= 1.5.65 - Multiple Broken Access Control vulnerabilityEPSS 0.4%CVE-2023-44148MEDIUMWordPress Astra Bulk Edit plugin <= 1.2.7 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-33588MEDIUMWordPress basepress plugin <= 2.16.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-47302MEDIUMWordPress Fluent Support plugin <= 1.8.0 - Broken Access Control on Email Verification vulnerabilityEPSS 0.4%CVE-2025-26373MEDIUMA CWE-862 "Missing Authorization" in maxprofile/users/routes.lua (user endpoint) in Q-Free MaxTime less than or equal to version 2.11.0 alloEPSS 0.4%CVE-2024-38740MEDIUMWordPress Packlink PRO shipping module plugin <= 3.4.6 - Broken Access Control vulnerabilityEPSS 0.4%