Falhas do tipo CWE-862

10.142 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-41869CRITICALApache Nutch: Unauthenticated forced shutdown and job interruption in Nutch Server (Nutch REST API)EPSS 0.7%CVE-2024-1934HIGHWP Compress – Image Optimizer <= 6.11.08 - Missing Authorization to Unauthenticated CDN ModificationEPSS 0.7%CVE-2022-3920MEDIUMConsul Peering Imported Nodes/Services LeakEPSS 0.7%CVE-2026-2038HIGHGFI Archiver MArc.Core Missing Authorization Authentication Bypass VulnerabilityEPSS 0.7%CVE-2025-31377HIGHWordPress Woo Product Feed For Marketing Channels plugin <= 1.9.0 - Broken Access Control VulnerabilityEPSS 0.7%CVE-2022-4555MEDIUMWP Shamsi <= 4.1.0 - Missing Authorization to Arbitrary Plugin DeactivationEPSS 0.7%CVE-2026-74040CRITICALWazuh 3.9.0 before 4.14.8 Arbitrary File Overwrite RCE via process_files_from_workerEPSS 0.7%CVE-2024-11643HIGHAccessibility by AllAccessible <= 1.3.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Option UpdateEPSS 0.7%CVE-2023-24448MEDIUMA missing permission check in Jenkins RabbitMQ Consumer Plugin 2.8 and earlier allows attackers with Overall/Read permission to connect to aEPSS 0.7%CVE-2023-24453MEDIUMA missing check in Jenkins TestQuality Updater Plugin 1.3 and earlier allows attackers with Overall/Read permission to connect to an attackeEPSS 0.7%CVE-2026-32583MEDIUMWordPress Modern Events Calendar plugin <= 7.29.0 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2024-12594HIGHALL In One Custom Login Page <= 7.1.1 - Missing Authorization to Authenticated (Subscriber+)Privilege EscalationEPSS 0.7%CVE-2023-25035MEDIUMWordPress Quick Contact Form plugin <= 8.0.3.1 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2024-54466MEDIUMAn authorization issue was addressed with improved state management. This issue is fixed in macOS Sequoia 15.2, macOS Sonoma 14.7.2, macOS VEPSS 0.7%CVE-2026-88198HIGHMicrosoft Office SharePoint Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2026-56768HIGHSeahub < 13.0.23 - Authentication Bypass in ShareLinkZipTaskView GET MethodEPSS 0.7%CVE-2023-3442HIGHMissing Authorization in Jenkins plug-in for ServiceNow DevOpsEPSS 0.7%CVE-2023-23895MEDIUMWordPress WP Time Slots Booking Form plugin <= 1.1.82 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2023-35937MEDIUMMetersphere missing permission checkEPSS 0.7%CVE-2025-21396HIGHMicrosoft Account Elevation of Privilege VulnerabilityEPSS 0.7%