Falhas do tipo CWE-862

8.690 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-4949MEDIUMProfilePress <= 4.16.12 - Missing Authorization to Authenticated (Subscriber+) Inactive Membership Plan SubscriptionEPSS 0.4%CVE-2026-92455MEDIUMyshop-crm through 2.1.3 Missing Authorization via CRM Customer Messaging EndpointsEPSS 0.4%CVE-2024-54242MEDIUMWordPress Simple Notification plugin <= 1.3 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-37095MEDIUMWordPress Envira Photo Gallery plugin <= 1.8.7.3 - CSRF leading to notice dismissal vulnerabilityEPSS 0.4%CVE-2024-12821HIGHMedia Manager for UserPro <= 3.12.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Options UpdateEPSS 0.4%CVE-2024-11154MEDIUMPublishPress Revisions: Duplicate Posts, Submit, Approve and Schedule Content Changes <= 3.5.15 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information ExposureEPSS 0.4%CVE-2024-20442MEDIUMCisco Nexus Dashboard Unauthorized API Endpoints VulnerabilityEPSS 0.4%CVE-2023-47557MEDIUMWordPress Visitor Traffic Real Time Statistics plugin <= 7.2 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2025-26942HIGHWordPress JetTricks plugin <= 1.5.1 - Broken Access Control VulnerabilityEPSS 0.4%CVE-2025-12963CRITICALLazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart <= 1.2.29 - Missing Authorization to Uanuthenticated Privilege EscalationEPSS 0.4%CVE-2025-26958HIGHWordPress JetBlog plugin <= 2.4.3 - Broken Access Control VulnerabilityEPSS 0.4%CVE-2024-6033MEDIUMEvent Manager, Events Calendar, Tickets, Registrations – Eventin <= 4.0.4 - Missing Authorization to Authenticated (Contributor+) Event Data ImportEPSS 0.4%CVE-2025-12845HIGHTablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent 0.5.4 - 1.2.1 - Missing Authorization to Authenticated (Subscriber+) Information Exposure and Privilege EscalationEPSS 0.4%CVE-2024-56003MEDIUMWordPress Caldera SMTP Mailer plugin <= 1.0.1 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-0828MEDIUMPlay.ht – Make Your Blog Posts Accessible With Text to Speech Audio <= 3.6.4 - Missing AuthorizationEPSS 0.4%CVE-2025-22670MEDIUMWordPress VikBooking Hotel Booking Engine & PMS plugin <= 1.7.2 - CSRF to Settings Change vulnerabilityEPSS 0.4%CVE-2024-11852MEDIUMElement Pack Elementor Addons (Header Footer, Template Library, Dynamic Grid & Carousel, Remote Arrows) <= 5.10.12 - Missing AuthorizationEPSS 0.4%CVE-2026-4301MEDIUMRate Star Review Vote <= 1.6.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Modification via 'rating_id' ParameterEPSS 0.4%CVE-2025-22668MEDIUMWordPress Awesome Event Booking plugin <= 2.7.2 - Broken Access Control vulnerabilityEPSS 0.4%CVE-2024-5997MEDIUMDuplica <= 0.6 - Authenticated (Subscriber+) Missing Authorization to Users/Posts Duplicates CreationEPSS 0.4%