Falhas do tipo CWE-862

8.689 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2024-46450HIGHIncorrect access control in Tenda AC1200 Smart Dual-Band WiFi Router Model AC6 v2.0 Firmware v15.03.06.50 allows attackers to bypass authentEPSS 0.4%CVE-2025-31794MEDIUMWordPress WR Price List Manager For Woocommerce plugin <= 1.0.8 - Arbitrary Content Deletion vulnerabilityEPSS 0.4%CVE-2025-31872MEDIUMWordPress WP Clone any post type Plugin <= 3.6 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-9364MEDIUMSendGrid for WordPress <= 1.4 - Missing Authorization to Authenticated (Subscriber+) Log DeletionEPSS 0.4%CVE-2026-24376MEDIUMWordPress WPVulnerability plugin <= 4.2.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2025-9825MEDIUMMissing Authorization in GitLabEPSS 0.4%CVE-2026-24987MEDIUMWordPress WP System Log plugin <= 1.2.7 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2026-47413CRITICALpraisonai-platform: Any workspace member can add arbitrary user as owner via POST /workspaces/{id}/membersEPSS 0.4%CVE-2024-1042MEDIUMWP Radio – Worldwide Online Radio Stations Directory for WordPress <= 3.1.9 - Missing Authorization via multiple AJAX actionsEPSS 0.4%CVE-2026-6441MEDIUMCanto <= 3.1.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Setting ModificationEPSS 0.4%CVE-2024-54241MEDIUMWordPress Elite Notification plugin 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-44031MEDIUMWordPress JoomSport plugin <= 5.6.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-5997MEDIUMDuplica <= 0.6 - Authenticated (Subscriber+) Missing Authorization to Users/Posts Duplicates CreationEPSS 0.4%CVE-2024-0828MEDIUMPlay.ht – Make Your Blog Posts Accessible With Text to Speech Audio <= 3.6.4 - Missing AuthorizationEPSS 0.4%CVE-2026-92455MEDIUMyshop-crm through 2.1.3 Missing Authorization via CRM Customer Messaging EndpointsEPSS 0.4%CVE-2024-54242MEDIUMWordPress Simple Notification plugin <= 1.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-37095MEDIUMWordPress Envira Photo Gallery plugin <= 1.8.7.3 - CSRF leading to notice dismissal vulnerabilityEPSS 0.4%CVE-2024-20442MEDIUMCisco Nexus Dashboard Unauthorized API Endpoints VulnerabilityEPSS 0.4%CVE-2025-12963CRITICALLazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart <= 1.2.29 - Missing Authorization to Uanuthenticated Privilege EscalationEPSS 0.4%CVE-2024-38504MEDIUMIn JetBrains YouTrack before 2024.2.34646 the Guest User Account was enabled for attaching files to articlesEPSS 0.4%