Falhas do tipo CWE-862

8.890 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-52757MEDIUMWordPress SUMO Memberships for WooCommerce plugin < 7.8.0 - Arbitrary Content Deletion vulnerabilityEPSS 0.3%CVE-2026-20155HIGHCisco Evolved Programmable Network Manager Improper Authorization VulnerabilityEPSS 0.3%CVE-2026-39485MEDIUMWordPress Youtube Embed Plus plugin <= 14.2.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-86499MEDIUMIn JetBrains YouTrack before 2026.1.14047 predefined search fields leaked all group names to any user, regardless of visibility permissionEPSS 0.3%CVE-2025-13529MEDIUMUnify <= 3.4.9 - Missing Authorization to Unauthenticated Option Deletion via 'unify_plugin_downgrade' ParameterEPSS 0.3%CVE-2026-5572MEDIUMTechnostrobe HI-LED-WR120-G2 cross-site request forgeryEPSS 0.3%CVE-2026-57622MEDIUMWordPress WPCafe plugin <= 3.0.14 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-62972MEDIUMWordPress WebinarPress plugin <= 1.33.28 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-76360MEDIUMInformation Disclosure through Missing Authorization in the Health REST API in Splunk SOAREPSS 0.3%CVE-2026-4202LOWBroken Access Control in extension "Redirect Tab"EPSS 0.3%CVE-2025-69009MEDIUMWordPress Medicalequipment theme <= 1.0.9 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-55704MEDIUMDiscourse: Shared-draft titles and excerpts leak through group post serializationEPSS 0.3%CVE-2026-32446MEDIUMWordPress Contact Form by WPForms plugin <= 1.9.9.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-67560MEDIUMWordPress Listdom plugin <= 5.0.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-49054MEDIUMWordPress The Post Grid plugin <= 7.9.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-49288MEDIUMStatamic CMS missing authorization on Control Panel fieldtype endpoints allows disclosure of restricted resourcesEPSS 0.3%CVE-2025-68596MEDIUMWordPress Bit Assist plugin <= 1.5.11 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27424MEDIUMWordPress Image Photo Gallery Final Tiles Grid plugin <= 3.6.11 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-49047MEDIUMWordPress DearFlip plugin <= 2.4.27 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-39476MEDIUMWordPress User Feedback plugin <= 1.10.1 - Broken Access Control vulnerabilityEPSS 0.3%