Falhas do tipo CWE-862

10.142 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2022-46838CRITICALWordPress JS Help Desk plugin <= 2.7.1 - Unauthenticated Settings Change VulnerabilityEPSS 0.7%CVE-2026-15025HIGHUncanny Automator <= 7.3.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Integration Metadata Disclosure via Multiple AJAX EndpointsEPSS 0.7%CVE-2021-4388MEDIUMOpal Estate <= 1.6.11 - Missing AuthorizationEPSS 0.7%CVE-2021-4345MEDIUMuListing <= 1.6.6 - Unauthenticated Arbitrary Roles and Capabilities Creation/DeletionEPSS 0.7%CVE-2022-24190HIGHThe /device/acceptBind end-point for Ourphoto App version 1.4.1 does not require authentication or authorization. The user_token header is nEPSS 0.7%CVE-2023-41802MEDIUMWordPress Super Socializer plugin <= 7.13.54 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2026-4119CRITICALCreate DB Tables <= 1.2.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Database Table Creation/Deletion via admin-post.phpEPSS 0.7%CVE-2023-37967MEDIUMWordPress DirectoryPress plugin <= 3.6.2 - Unauthenticated Broken Access Control VulnerabilityEPSS 0.7%CVE-2024-4317LOWPostgreSQL pg_stats_ext and pg_stats_ext_exprs lack authorization checksEPSS 0.7%CVE-2026-72824HIGHGrav before 1.0.13 API Key Scope Bypass via PagesControllerEPSS 0.7%CVE-2024-1170HIGHPost Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) <= 2.8.7 - Missing Authorization to Unauthenticated Media DeletionEPSS 0.7%CVE-2024-7475CRITICALImproper Access Control in lunary-ai/lunaryEPSS 0.7%CVE-2026-7761HIGHUltimate Member <= 2.11.4 - Authenticated (Contributor+) Account Takeover via Password Reset Link DisclosureEPSS 0.7%CVE-2023-37910HIGHorg.xwiki.platform:xwiki-platform-attachment-api vulnerable to Missing Authorization on Attachment MoveEPSS 0.7%CVE-2021-24842—Bulk Datetime Change < 1.12 - Missing AuthorisationEPSS 0.7%CVE-2024-11205HIGHWPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription CancellationEPSS 0.7%CVE-2026-55440MEDIUMMicrosoft UFO: COMMAND_RESULTS handler creates unowned sessions, allowing authenticated session-squatting denial of serviceEPSS 0.7%CVE-2022-48367CRITICALAn issue was discovered in eZ Publish Ibexa Kernel before 7.5.28. Access control based on object state is mishandled.EPSS 0.7%CVE-2024-54542CRITICALAn authentication issue was addressed with improved state management. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, macOS SeEPSS 0.7%CVE-2021-24355—Simple 301 Redirects by BetterLinks - 2.0.0 – 2.0.3 - Update and Retrieve Wildcard ValueEPSS 0.7%