Falhas do tipo CWE-862

8.848 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-51670MEDIUMWordPress FunnelKit Checkout plugin <= 3.10.3 - Authenticated Arbitrary Plugin Activation vulnerabilityEPSS 0.3%CVE-2026-65469MEDIUMWordPress AWP Classifieds plugin <= 4.4.7 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39715MEDIUMWordPress AnyTrack Affiliate Link Manager plugin <= 1.5.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32382MEDIUMWordPress Digital Download theme <= 1.1.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-78528MEDIUMWordPress BerqWP plugin <= 4.1.15 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32374MEDIUMWordPress The Minimal theme <= 1.2.9 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-57778MEDIUMWordPress Booking calendar, Appointment Booking System plugin <= 3.2.36 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-78291MEDIUMWordPress RepairBuddy plugin <= 4.1223 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-64636MEDIUMWordPress Donation Thermometer plugin <= 2.2.7 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32387MEDIUMWordPress Checkout for PayPal plugin <= 1.0.46 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27435MEDIUMWordPress Woffice theme < 5.4.33 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-57782MEDIUMWordPress Universal Clocks plugin <= 1.2.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39608MEDIUMWordPress iPOSpays Gateways WC plugin <= 1.3.7 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-24654HIGHWordPress Squirrly SEO plugin <= 12.4.07 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-53784MEDIUMWordPress Smart Marketing SMS and Newsletters Forms plugin <= 5.0.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32334MEDIUMWordPress JobScout theme <= 1.1.7 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-7499MEDIUMBetterDocs <= 4.1.1 - Missing Authorization to Private And Password-Protected Posts Information DisclosureEPSS 0.3%CVE-2025-12202MEDIUMajayrandhawa User-Management-PHP-MYSQL web cross-site request forgeryEPSS 0.3%CVE-2026-57750MEDIUMWordPress ez Form Calculator Premium plugin <= 2.14.1.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32380MEDIUMWordPress Numinous theme <= 1.3.0 - Broken Access Control vulnerabilityEPSS 0.3%