Falhas do tipo CWE-862

8.790 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-30605MEDIUMWordPress sourceplay-navermap plugin <= 0.0.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27792MEDIUMSeerr missing authentication on pushSubscription endpointsEPSS 0.3%CVE-2024-45285MEDIUMMultiple vulnerabilities in SAP NetWeaver Application Server for ABAP and ABAP PlatformEPSS 0.3%CVE-2025-62909MEDIUMWordPress Smart WeTransfer plugin <= 1.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-56225MEDIUMWordPress Premium Addons for Elementor plugin <= 4.10.56 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-12384HIGHDocument Embedder – Embed PDFs, Word, Excel, and Other Files <= 2.0.0 - Missing Authorization to Unauthenticated Document ManipulationEPSS 0.3%CVE-2025-32243MEDIUMWordPress Internal Link Optimiser plugin <= 5.1.2 - Settings Change vulnerabilityEPSS 0.3%CVE-2025-41443MEDIUMGuest user can discover active public channelsEPSS 0.3%CVE-2025-49907MEDIUMWordPress MDTF plugin <= 1.3.3.9 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-12244MEDIUMMissing Authorization in GitLabEPSS 0.3%CVE-2026-87443MEDIUMMissing authorization in Actor in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a craftEPSS 0.3%CVE-2024-12610MEDIUMSchool Management System for Wordpress <= 93.0.0 - Missing Authorization to Unauthenticated Arbitrary Post DeletionEPSS 0.3%CVE-2026-24603MEDIUMWordPress Universal Google Adsense and Ads manager plugin <= 1.1.8 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-3437MEDIUMMotors – Car Dealership & Classified Listings Plugin <= 1.4.66 - Missing Authorization to Authenticated (Subscriber+) Wizard Set-upEPSS 0.3%CVE-2025-32244MEDIUMWordPress SEO Help plugin <= 6.7.9 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-9243HIGHCost Calculator Builder <= 3.5.32 - Authenticated (Subscriber+) Missing Authorization via get_cc_orders/update_order_status FunctionsEPSS 0.3%CVE-2026-32445LOWWordPress Elementor Website Builder plugin <= 3.35.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-22699MEDIUMWordPress MainWP Wordfence Extension Plugin <= 4.0.7 - Subscriber+ Arbitrary Plugin Activation VulnerabilityEPSS 0.3%CVE-2025-39554MEDIUMWordPress AI Text to Speech plugin <= 3.0.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-48758HIGHWordPress JetEngine plugin <= 3.2.4 - Broken Access Control vulnerabilityEPSS 0.3%