Falhas do tipo CWE-862

8.748 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-28995MEDIUMWordPress Viral Loops WP Integration plugin <= 3.8.1 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-32438MEDIUMWordPress VW School Education theme <= 1.4.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-24762MEDIUMWordPress TicketBAI Facturas para WooCommerce plugin <= 3.45 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32427MEDIUMWordPress VW Education Lite plugin <= 2.2.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-29013MEDIUMWordPress Custom Category/Post Type Post order plugin <= 1.6.0 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-53255MEDIUMWordPress HurryTimer plugin <= 2.13.1 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-30636MEDIUMWordPress Accessibility Suite plugin <= 4.19 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-32434MEDIUMWordPress VW Fitness theme <= 4.3.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-46244MEDIUMWordPress Advanced Linked Variations for Woocommerce plugin <= 1.0.3 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-31555MEDIUMWordPress ContentMX Content Publisher plugin <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39707MEDIUMWordPress Accept PayPal Payments using Contact Form 7 plugin <= 4.0.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-86178MEDIUMPixelfed through 0.12.9 Unauthorized Story Access via APIEPSS 0.3%CVE-2025-49324MEDIUMWordPress Job Board Manager plugin <= 2.1.60 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-31584MEDIUMWordPress Elfsight Testimonials Slider plugin <= 1.0.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-49270MEDIUMWordPress WP-CRM System plugin <= 3.4.2 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2023-4728MEDIUMLadiApp: Landing Page, PopupX, Marketing Automation, Affiliate Marketing… <= 4.4 - Missing Authorization on publish_lp()EPSS 0.3%CVE-2024-10520MEDIUMWP Project Manager <= 2.6.14 - Missing Authorization to Project Milestone and Task Creation/DeletionEPSS 0.3%CVE-2025-31381MEDIUMWordPress Booking Calendar and Notification plugin <= 4.0.3 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2025-28997MEDIUMWordPress WP AutoKeyword plugin <= 1.0 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-32439MEDIUMWordPress BigHearts theme <= 3.1.14 - Broken Access Control vulnerabilityEPSS 0.3%