Falhas do tipo CWE-862

8.837 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-11890HIGHCrypto Payment Gateway with Payeer for WooCommerce <= 1.0.3 - Unauthenticated Payment BypassEPSS 0.3%CVE-2026-57335MEDIUMWordPress Ads by WPQuads plugin <= 3.0.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-24403MEDIUMA missing permission check in Jenkins Azure Service Fabric Plugin 1.6 and earlier allows attackers with Overall/Read permission to enumerateEPSS 0.3%CVE-2026-87073MEDIUMTanium addressed an improper access controls vulnerability in Comply.EPSS 0.3%CVE-2026-66647MEDIUMWordPress Homlisti theme <= 3.1.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-81762MEDIUMWordPress Booking and Rental Manager plugin <= 2.7.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27364MEDIUMWordPress Style Kits plugin <= 2.6.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-55658HIGHGardens v2: StreamingEscrow buffer drains to the proposal beneficiary on cancel via the permissionless claim()EPSS 0.3%CVE-2026-86494HIGHIn JetBrains YouTrack before 2026.2.18634 cloning a whiteboard allowed unauthorized changes to links on inaccessible issuesEPSS 0.3%CVE-2026-49385MEDIUMIn JetBrains YouTrack before 2026.1.13570 improper access control allowed low-privileged users to modify service accountsEPSS 0.3%CVE-2025-69137MEDIUMWordPress Genemy theme <= 1.6.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-24561MEDIUMWordPress FluentBoards plugin <= 1.91.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-13652MEDIUMECPay Ecommerce for WooCommerce <= 1.1.2411060 - Missing Authorization to Authenticated (Subscriber+) Log DeletionEPSS 0.3%CVE-2026-24560MEDIUMWordPress Cloudinary plugin <= 3.3.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-65433MEDIUMWordPress RT Mega Menu – Mega Menu Builder for Elementor & Gutenberg plugin <= 1.5.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-40794MEDIUMWordPress myCred plugin <= 3.0.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-5641MEDIUMOne Click Order Re-Order <= 1.1.9 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-11867MEDIUMFrontend Admin by DynamiApps < 3.29.7 - Subscriber+ Taxonomy Term Creation/Modification/Deletion via Missing AuthorizationEPSS 0.3%CVE-2026-57921MEDIUMIn JetBrains YouTrack before 2026.2.16593 improper access control allowed reading users' private data via the comment templates endpointEPSS 0.3%CVE-2026-28380MEDIUMBAC in Snapshot API allows deletion of unauthorized dashboard snapshotsEPSS 0.3%