Falhas do tipo CWE-862

8.688 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-25425HIGHWordPress User Registration plugin <= 5.1.2 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-60124MEDIUMMISP importModule missing authorization allows read-only users to modify events via misp_standard importsEPSS 0.4%CVE-2025-58877HIGHWordPress Javo Core plugin <= 3.0.0.529 - Arbitrary Content Deletion vulnerabilityEPSS 0.4%CVE-2026-59217MEDIUMOpen WebUI: Upload `metadata.knowledge_id` bypasses the knowledge-base write-access check (read-only users can add files to KB)EPSS 0.4%CVE-2024-27950MEDIUMWordPress Sirv plugin <= 7.2.0 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2025-24972MEDIUMDiscourse may bypass user preference when adding users to chat groupsEPSS 0.4%CVE-2023-46610MEDIUMWordPress Quill Forms plugin <= 3.3.0 - Broken Access Control + CSRF vulnerabilityEPSS 0.4%CVE-2024-38719MEDIUMWordPress Auto Featured Image plugin <= 4.1.2 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-56280HIGHCap-go - Privilege Inversion in Build Log Stream via SSE DisconnectEPSS 0.4%CVE-2026-85533HIGHMISP Sharing Group Authorization Bypass via Omitted Distribution ParameterEPSS 0.4%CVE-2023-47849MEDIUMWordPress BlossomThemes Email Newsletter plugin <= 2.2.4 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-87994MEDIUMOpen WebUI: Channel members can overwrite another member's message via the chat completions endpointEPSS 0.4%CVE-2026-95671MEDIUMMISP Collections: Missing Authorization Check for Sharing Group on PUT Request in collections/addEPSS 0.4%CVE-2024-0984MEDIUMImageRecycle pdf & image compression <= 3.1.13 - Missing Authorization to Settings Update in disableOptimizationEPSS 0.4%CVE-2026-57494HIGHAgenticMail: Cross-agent task authorization bypass in AgenticMail APIEPSS 0.4%CVE-2023-47841MEDIUMWordPress Analytify plugin <= 5.1.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-32829MEDIUMWordPress Data Tables Generator by Supsystic plugin <= 1.10.31 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-35168MEDIUMWordPress WP Discourse plugin <= 2.5.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-37482MEDIUMWordPress The Post Grid plugin <= 7.7.4 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-38727MEDIUMWordPress Seraphinite Post .DOCX Source plugin <= 2.16.9 - Broken Access Control vulnerabilityEPSS 0.4%