Falhas do tipo CWE-862

8.734 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2024-31350MEDIUMWordPress AWP Classifieds plugin <= 4.3.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-32714MEDIUMWordPress Academy LMS plugin <= 1.9.16 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-31267MEDIUMWordPress Flexible Checkout Fields for WooCommerce plugin <= 4.1.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-48039MEDIUMWordPress CubeWP Framework plugin <= 1.1.15 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-77243HIGHMCP Atlassian: ENABLED_TOOLS / Toolset authorization bypassEPSS 0.3%CVE-2025-39541MEDIUMWordPress WP Simple Booking Calendar plugin <= 2.0.13 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-22304MEDIUMWordPress WP Visitor Statistics plugin <= 7.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-30517MEDIUMWordPress Sliced Invoices plugin <= 3.9.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-82848MEDIUMMasteriyo LMS 1.3.1 - 2.3.3 - Unauthenticated Course Enrollment DisclosureEPSS 0.3%CVE-2024-5858MEDIUMInfographic Maker iList <= 4.7.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Title UpdateEPSS 0.3%CVE-2025-1084MEDIUMMindskip xzs-mysql 学之思开源考试系统 cross-site request forgeryEPSS 0.3%CVE-2026-44764HIGHMissing Authorization Check in SAP Manufacturing Integration and IntelligenceEPSS 0.3%CVE-2025-5018HIGHHive Support <= 1.2.5 - Authenticated (Subscriber+) Missing Authorization via hs_update_ai_chat_settings and hive_lite_support_get_all_binboxEPSS 0.3%CVE-2024-31261MEDIUMWordPress Announcer – Notification & message bars plugin <= 6.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-30993MEDIUMWordPress Thank You Page Customizer for WooCommerce – Increase Your Sales <= 1.1.7 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-50031MEDIUMWordPress DB Backup <= 6.0 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2024-9361MEDIUMBulk images optimizer: Resize, optimize, convert to webp, rename ... <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) Plugin Options UpdateEPSS 0.3%CVE-2026-18035MEDIUMUser Access Manager < 2.3.15 - Unauthenticated Restricted Content Disclosure via REST APIEPSS 0.3%CVE-2024-33564HIGHWordPress XStore theme <= 9.3.8 - Arbitrary Option Update vulnerabilityEPSS 0.3%CVE-2025-30107HIGHOn IROAD V9 devices, Managing Settings and Obtaining Sensitive Data and Sabotaging the Car Battery can be performed by unauthorized parties.EPSS 0.3%