Falhas do tipo CWE-862

8.904 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-57375MEDIUMWordPress MStore API plugin <= 4.18.4 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-66651MEDIUMWordPress MultiVendorX plugin <= 5.0.19 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-58660MEDIUMWordPress Oshine Core Plugin <= 1.5.5 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-48941MEDIUMJoomla Extension - getk2.org - Unauthenticated folder delete in K2 extension for Joomla < 2.26EPSS 0.3%CVE-2026-84755MEDIUMWordPress Mail Mint plugin <= 1.31.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-13239MEDIUMWissKI - Critical - Access bypass - SA-CONTRIB-2026-059EPSS 0.3%CVE-2026-65499MEDIUMWordPress PeproDev Ultimate Invoice plugin <= 2.2.6 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-40743MEDIUMWordPress Tutor LMS plugin <= 3.9.7 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-60096MEDIUMWordPress TheGem (Elementor) Theme <= 5.10.5 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-58667MEDIUMWordPress ListingPro Reviews plugin < 2.9.11 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-33177MEDIUMStatamic is missing authorization check on taxonomy term creation via fieldtypeEPSS 0.3%CVE-2025-58672MEDIUMWordPress WP User Frontend Plugin <= 4.1.12 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2025-3702MEDIUMWordPress Melapress File Monitor plugin < 2.2.0 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2024-47585MEDIUMMissing Authorization check in SAP NetWeaver Application Server for ABAP and ABAP PlatformEPSS 0.3%CVE-2026-73352MEDIUMWordPress GiveWP plugin <= 4.16.5.1 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2025-62925MEDIUMWordPress Conversios.io plugin <= 7.2.13 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-61604CRITICALixo Blockchain x/bonds DID-resolved payer drain + x/entity ICA authorization bypassEPSS 0.3%CVE-2025-68834HIGHWordPress Sync Master Sheet – Product Sync with Google Sheet for WooCommerce plugin <= 1.1.3 - Broken Access Control vulnerabilityEPSS 0.3%CVE-2026-57923MEDIUMIn JetBrains YouTrack before 2026.2.16593 improper authorisation in the app configurations endpoint allowed modifying project settingsEPSS 0.3%CVE-2025-5803MEDIUMWordPress VikBooking Hotel Booking Engine & PMS plugin <= 1.8.2 - Broken Access Control vulnerabilityEPSS 0.3%