Falhas do tipo CWE-862

8.735 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2024-30484MEDIUMWordPress RT Easy Builder plugin <= 2.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-49273MEDIUMWordPress ProfileGrid plugin <= 5.9.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2024-9361MEDIUMBulk images optimizer: Resize, optimize, convert to webp, rename ... <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) Plugin Options UpdateEPSS 0.3%CVE-2024-9067MEDIUMYouzify – BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress <= 1.3.0 - Missing Authorization to Arbitrary (Subscriber+) Attachment DeletionEPSS 0.3%CVE-2025-30993MEDIUMWordPress Thank You Page Customizer for WooCommerce – Increase Your Sales <= 1.1.7 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2024-31294MEDIUMWordPress WP Sort Order plugin <= 1.3.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-31423MEDIUMWordPress WP Accessibility Helper (WAH) plugin <= 0.6.2.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-31261MEDIUMWordPress Announcer – Notification & message bars plugin <= 6.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-31350MEDIUMWordPress AWP Classifieds plugin <= 4.3.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-77243HIGHMCP Atlassian: ENABLED_TOOLS / Toolset authorization bypassEPSS 0.3%CVE-2025-30107HIGHOn IROAD V9 devices, Managing Settings and Obtaining Sensitive Data and Sabotaging the Car Battery can be performed by unauthorized parties.EPSS 0.3%CVE-2026-82848MEDIUMMasteriyo LMS 1.3.1 - 2.3.3 - Unauthenticated Course Enrollment DisclosureEPSS 0.3%CVE-2025-50031MEDIUMWordPress DB Backup <= 6.0 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2024-35724MEDIUMWordPress Bosa Elementor Addons and Templates for WooCommerce plugin <= 1.0.12 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-6709MEDIUMSync Post With Other Site <= 1.6 - Missing Authorization to Authenticated (Subscriber+) Post Creation and UpdateEPSS 0.3%CVE-2024-6836MEDIUMFunnel Builder for WordPress by FunnelKit – Customize WooCommerce Checkout Pages, Create Sales Funnels, Order Bumps & One Click Upsells <= 3.4.6 - Missing Authorization to Authenticated (Contributor+) Settings UpdateEPSS 0.3%CVE-2024-32818MEDIUMWordPress MDTF – Meta Data and Taxonomies Filter plugin <= 1.3.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-39541MEDIUMWordPress WP Simple Booking Calendar plugin <= 2.0.13 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-6599MEDIUMMeks Video Importer <= 1.0.12 - Missing Authorization to Authenticated (Subscriber+) API Keys ModificationEPSS 0.3%CVE-2025-15070MEDIUMData Exposure in Gmission Web FAXEPSS 0.3%