Falhas do tipo CWE-862

8.854 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-84217MEDIUMWordPress Classified Listing plugin <= 6.1.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-106489MEDIUMBackstage: Improper authorization enforcement for TechDocs static contentEPSS 0.3%CVE-2026-25309HIGHWordPress PublishPress Authors plugin <= 4.10.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-56023MEDIUMWordPress UPI QR Code Payment Gateway for WooCommerce plugin <= 1.6.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-78597MEDIUMMissing Authorization in Kibana Entity Store Leading to Unauthorized API Key CreationEPSS 0.3%CVE-2026-10085MEDIUMOrdinary group/direct message member can enable group_constrained and remove all channel participantsEPSS 0.3%CVE-2026-84805MEDIUMKimai 2.61.0 before 2.63.0 Authentication Bypass via APIEPSS 0.3%CVE-2025-63041MEDIUMWordPress Forget About Shortcode Buttons plugin <= 2.1.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32416MEDIUMWordPress PDF Poster plugin <= 2.4.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39594MEDIUMWordPress Ultra Addons for WPForms plugin <= 1.0.11 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-53485HIGHSecurePoll: Unauthorized access to SetTranslationHandler allows arbitrary text changesEPSS 0.3%CVE-2026-94120HIGHWordPress GravityExport Lite for Gravity Forms plugin <= 2.7.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-8632MEDIUMKB Support – WordPress Help Desk and Knowledge Base <= 1.6.6 - Missing Authorization to Unauthenticated Ticket Reply ExposureEPSS 0.3%CVE-2026-32385MEDIUMWordPress RegistrationMagic plugin <= 6.0.7.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2023-28619MEDIUMWordPress Resoto theme <= 1.0.8 - Broken Access Control to Arbitrary Plugin ActivationEPSS 0.3%CVE-2026-27111MEDIUMKargo has Missing Authorization Vulnerabilities in Approval & Promotion REST API EndpointsEPSS 0.3%CVE-2026-14332MEDIUMEcwid by Lightspeed Ecommerce Shopping Cart < 7.0.9 - Subscriber+ Store Disconnection via 'ec_disconnect' ActionEPSS 0.3%CVE-2026-32390MEDIUMWordPress Nanosoft theme < 1.3.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-45210MEDIUMWordPress Broadstreet Ads plugin <= 1.52.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-32373MEDIUMWordPress SMS Alert Order Notifications plugin <= 3.9.0 - Broken Access Control vulnerabilityEPSS 0.3%