Falhas do tipo CWE-862

8.763 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-26523MEDIUMWordPress Calculated Fields Form plugin <= 1.1.120 - Missing Authorization Leading To Feedback Submission VulnerabilityEPSS 0.3%CVE-2026-62114MEDIUMWordPress Passster plugin <= 4.3.13 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-66676MEDIUMWordPress Easy Invoice plugin <= 2.3.8 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-51507MEDIUMWordPress Quiz And Survey Master plugin <= 8.1.16 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27396HIGHWordPress Directory Pro plugin <= 2.5.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-65529MEDIUMWordPress Graphina plugin <= 3.1.12 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-84835MEDIUMWordPress Rentsyst plugin <= 2.1.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-23440MEDIUMWordPress radSLIDE plugin <= 2.1 - Broken Access Control to Stored Cross-Site Scripting vulnerabilityEPSS 0.3%CVE-2025-12955HIGHLive sales notification for WooCommerce <= 2.3.39 - Missing Authorization to Unauthenticated Customer Data ExposureEPSS 0.3%CVE-2026-73353MEDIUMWordPress Revolut Gateway for WooCommerce plugin < 4.22.10 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39528MEDIUMWordPress WP Delicious plugin <= 1.9.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32548MEDIUMWordPress SureCart plugin <= 4.6.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39501MEDIUMWordPress FOX plugin <= 1.4.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-11353MEDIUMSMS for Lead Capture Forms <= 1.1.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Message DeletionEPSS 0.3%CVE-2026-32565MEDIUMWordPress Contextual Related Posts plugin < 4.2.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-76087HIGHFormie: Unauthenticated users can overwrite incomplete submissions via submit actionEPSS 0.3%CVE-2023-51377MEDIUMWordPress Everest Forms plugin <= 2.0.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-85304MEDIUMWordPress Unlimited Elements For Elementor (Free Widgets, Addons, Templates) plugin <= 2.0.17 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-57323MEDIUMWordPress Flash & HTML5 Video plugin <= 2.11.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-25466MEDIUMWordPress WP Go Maps plugin <= 10.1.04 - Broken Access Control vulnerabilityEPSS 0.3%