Falhas do tipo CWE-862

8.893 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-12093MEDIUMVoidek Employee Portal <= 1.0.7 - Missing AuthorizationEPSS 0.3%CVE-2026-45442MEDIUMWordPress Presto Player plugin <= 4.1.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-27327MEDIUMWordPress YayMail – WooCommerce Email Customizer plugin <= 4.3.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-68596MEDIUMWordPress Bit Assist plugin <= 1.5.11 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-66678MEDIUMWordPress Advanced Custom Fields: Font Awesome Field plugin <= 6.1.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-49288MEDIUMStatamic CMS missing authorization on Control Panel fieldtype endpoints allows disclosure of restricted resourcesEPSS 0.3%CVE-2026-27056MEDIUMWordPress iThemes Sync plugin <= 3.2.8 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-65491MEDIUMWordPress Query Wrangler plugin <= 1.5.57 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-68595MEDIUMWordPress Widgets for Social Photo Feed plugin <= 1.8 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-14365MEDIUMEyewear prescription form <= 6.0.1 - Missing Authorization to Unauthenticated Arbitrary WooCommerce Category DeletionEPSS 0.3%CVE-2026-55704MEDIUMDiscourse: Shared-draft titles and excerpts leak through group post serializationEPSS 0.3%CVE-2025-63079MEDIUMWordPress Live Copy Paste for Elementor plugin <= 1.5.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-57689MEDIUMWordPress Werkstatt theme <= 4.7.2 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-16289MEDIUMProfileGrid < 6.0.0.0 - Subscriber+ Group Join Request Disclosure via pm_get_all_requests_from_groupEPSS 0.3%CVE-2025-13666MEDIUMHelloprint <= 2.1.2 - Missing Authorization to Unauthenticated Arbitrary Order Status ModificationEPSS 0.3%CVE-2025-12362MEDIUMmyCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program <= 2.9.7 - Missing Authorization to Unauthenticated Withdrawal Request ApprovalEPSS 0.3%CVE-2026-20155HIGHCisco Evolved Programmable Network Manager Improper Authorization VulnerabilityEPSS 0.3%CVE-2026-70438MEDIUMA missing permission check in Jenkins Parameterized Remote Trigger Plugin 3.2.2 and earlier allows attackers with Overall/Read permission toEPSS 0.3%CVE-2025-12392MEDIUMCryptocurrency Payment Gateway for WooCommerce <= 2.0.25 - Missing Authorization to Unauthenticated Tracking Status UpdateEPSS 0.3%CVE-2025-62972MEDIUMWordPress WebinarPress plugin <= 1.33.28 - Broken Access Control vulnerabilityEPSS 0.3%