Falhas do tipo CWE-862

8.854 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-39787MEDIUMWordPress 10Web Social Photo Feed plugin <= 1.4.35 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32736MEDIUMHytale Modding Wiki has Insecure Direct Object Reference / GDPR PII ExposureEPSS 0.3%CVE-2023-6748MEDIUMCustom Field Template <= 2.6.1 - Authenticated(Contributor+) Information ExposureEPSS 0.3%CVE-2026-57746HIGHWordPress Booked plugin <= 3.0.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-58613MEDIUMWordPress Posts Table with Search & Sort Plugin <= 1.4.10 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-87072HIGHTanium addressed an improper access controls vulnerability in Comply.EPSS 0.3%CVE-2026-39967LOWTypeBot: Cross-Typebot Result Data Access via Missing typebotId FilterEPSS 0.3%CVE-2025-48155MEDIUMWordPress Residential Address Detection plugin <= 2.5.9 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-67974HIGHWordPress WPLegalPages plugin <= 3.5.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-47770HIGHWordPress BeTheme theme <= 27.1.1 - Contributor+ Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-11269MEDIUMProduct Filter by WBW <= 3.0.0 - Missing Authorization to Unauthenticated Settings UpdateEPSS 0.3%CVE-2025-11228MEDIUMGiveWP – Donation Plugin and Fundraising Platform <= 4.10.0 - Missing Authorization to Unauthenticated Forms-Campaign AssociationEPSS 0.3%CVE-2025-48166MEDIUMWordPress Stop and Block bots plugin Anti bots <= 1.48 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-0856HIGHPGS Core <= 5.8.0 - Missing Authorization via Multiple FunctionsEPSS 0.3%CVE-2026-57952MEDIUMMythic < 3.4.0.60 - Unauthorized C2 Profile Configuration Access via Unverified Payload UUIDEPSS 0.3%CVE-2026-18121MEDIUMConcrete CMS 9.5.2 and below is vulnerable to an authorization bypass (IDOR) in the Calendar block's frontend event dialog (/ccm/calendar/view_event/{bID}/{occurrence_id}).EPSS 0.3%CVE-2026-76209MEDIUMphpMyFAQ before v4.1.6 Registration Bypass via APIEPSS 0.3%CVE-2026-49378MEDIUMIn JetBrains TeamCity before 2026.1 credentials parameters were exposed via parameter autocompletionEPSS 0.3%CVE-2025-69303HIGHWordPress ModelTheme Framework plugin < 2.0.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-53986MEDIUMWordPress Hestia theme <= 3.2.10 - Broken Access Control VulnerabilityEPSS 0.3%