Falhas do tipo CWE-862

10.142 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-70340HIGHAzure CycleCloud Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2021-4369MEDIUMFrontend File Manager <= 18.2 - Unauthenticated Content InjectionEPSS 0.8%CVE-2024-29229HIGHMissing authorization vulnerability in GetLiveViewPath webapi component in Synology Surveillance Station before 9.2.0-9289 and 9.2.0-11289 aEPSS 0.8%CVE-2026-27181HIGHMajorDoMo Unauthenticated Module Uninstall via Market EndpointEPSS 0.8%CVE-2024-29228HIGHMissing authorization vulnerability in GetStmUrlPath webapi component in Synology Surveillance Station before 9.2.0-9289 and 9.2.0-11289 allEPSS 0.8%CVE-2022-24896MEDIUMTracker report renderer and chart widgets leak information in TuleapEPSS 0.8%CVE-2021-4379MEDIUMWooCommerce Multi Currency <= 2.1.17 - Missing AuthorizationEPSS 0.8%CVE-2020-36720HIGHKali Forms <= 2.1.1 - Missing Authorization to Settings UpdateEPSS 0.8%CVE-2022-41417CRITICALBlogEngine.NET v3.3.8.0 allows an attacker to create any folder with "files" prefix under ~/App_Data/.EPSS 0.8%CVE-2024-27939CRITICALA vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V5.5). The affected systems allow the upload of arbitrary files ofEPSS 0.8%CVE-2025-6187CRITICALbSecure 1.3.7 - 1.7.9 - Missing Authorization to Unauthenticated Privilege Escalation via order_info REST EndpointEPSS 0.8%CVE-2023-41875MEDIUMWordPress WP Directory Kit plugin <= 1.2.6 - Broken Access Control vulnerabilityEPSS 0.8%CVE-2024-0869HIGHInstant Images <= 6.1.0 - Authenticated (Author+) Arbitrary Options UpdateEPSS 0.8%CVE-2021-4383HIGHWP Quick FrontEnd Editor <= 5.5 - Authenticated (Subscriber+) Content InjectionEPSS 0.8%CVE-2023-32520HIGHWordPress WCP Contact Form plugin <= 3.1.0 - Broken Access Control vulnerabilityEPSS 0.8%CVE-2026-73653CRITICALVitest: Browser Mode provider commands bypass the file-access permission gateEPSS 0.8%CVE-2024-12172HIGHWP Courses LMS – Online Courses Builder, eLearning Courses, Courses Solution, Education Courses <= 3.2.21 - Missing Authorization to Authenticated (Subscriber+) Arbitrary User Meta UpdateEPSS 0.8%CVE-2026-3596CRITICALRiaxe Product Customizer <= 2.1.2 - Missing Authorization to Unauthenticated Arbitrary Options Update to Privilege Escalation via 'install-imprint' AJAX ActionEPSS 0.8%CVE-2022-41929MEDIUMMissing Authorization in User#setDisabledStatus in org.xwiki.platform:xwiki-platform-oldcoreEPSS 0.8%CVE-2024-13513CRITICALOliver POS – A WooCommerce Point of Sale (POS) <= 2.4.2.3 - Sensitive Information Exposure to Privilege EscalationEPSS 0.8%