Falhas do tipo CWE-862

8.853 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-66079MEDIUMWordPress Gutenverse Form plugin <= 2.2.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-94505HIGHNelio Content <= 4.5.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Reusable Message Deletion via 'id' ParameterEPSS 0.3%CVE-2025-13092MEDIUMDevs CRM – Manage tasks, attendance and teams all together <= 1.1.8 - Unauthenticated Information ExpsoureEPSS 0.3%CVE-2026-3176LOWMissing Authorization in GitLabEPSS 0.3%CVE-2025-69385MEDIUMWordPress Cartify - WooCommerce Gutenberg WordPress Theme theme <= 1.3 - Arbitrary Content Deletion vulnerabilityEPSS 0.3%CVE-2025-53986MEDIUMWordPress Hestia theme <= 3.2.10 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-12157MEDIUMSimple User Capabilities <= 1.0 - Missing Authorization to Unauthenticated Capability ResetEPSS 0.3%CVE-2026-57952MEDIUMMythic < 3.4.0.60 - Unauthorized C2 Profile Configuration Access via Unverified Payload UUIDEPSS 0.3%CVE-2023-47770HIGHWordPress BeTheme theme <= 27.1.1 - Contributor+ Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-12033MEDIUMJupiter X Core <= 4.8.5 - Missing Authorization to Authenticated Library SyncEPSS 0.3%CVE-2025-32242MEDIUMWordPress Hive Support plugin <= 1.2.5 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-67974HIGHWordPress WPLegalPages plugin <= 3.5.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-22299MEDIUMWordPress AI for SEO plugin <= 1.2.9 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-22298MEDIUMWordPress Hive Support plugin <= 1.1.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-49378MEDIUMIn JetBrains TeamCity before 2026.1 credentials parameters were exposed via parameter autocompletionEPSS 0.3%CVE-2025-1891MEDIUMshishuocms cross-site request forgeryEPSS 0.3%CVE-2025-8492MEDIUMSalon Booking System <= 10.22 - Missing Authorization to Unauthenticated AJAX Actions ExecutionEPSS 0.3%CVE-2026-18121MEDIUMConcrete CMS 9.5.2 and below is vulnerable to an authorization bypass (IDOR) in the Calendar block's frontend event dialog (/ccm/calendar/view_event/{bID}/{occurrence_id}).EPSS 0.3%CVE-2026-76209MEDIUMphpMyFAQ before v4.1.6 Registration Bypass via APIEPSS 0.3%CVE-2025-48155MEDIUMWordPress Residential Address Detection plugin <= 2.5.9 - Broken Access Control VulnerabilityEPSS 0.3%