Falhas do tipo CWE-862

9.062 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-96613HIGHMissing Authorization in Meari IoT Cloud Platform OpenAPI ServiceEPSS 0.2%CVE-2026-107395MEDIUMIndico: Missing access check in legacy session export APIEPSS 0.2%CVE-2025-14618MEDIUMSweet Energy Efficiency <= 1.0.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Graph DeletionEPSS 0.2%CVE-2025-13119MEDIUMFabian Ros/SourceCodester Simple E-Banking System cross-site request forgeryEPSS 0.2%CVE-2026-32388MEDIUMWordPress GLB theme <= 1.2.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-8595MEDIUMZakra <= 4.1.5 - Missing Authorization to Subscriber+ Demo ImportEPSS 0.2%CVE-2025-12847MEDIUMAll in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic <= 4.8.9 - Missing Authorization to Authenticated (Contributor+) Arbitrary Media DeletionEPSS 0.2%CVE-2026-11446MEDIUMBooktics – Booking Calendar for Appointments and Service Businesses <= 1.0.23 - Missing AuthorizationEPSS 0.2%CVE-2026-32391MEDIUMWordPress SmartFix theme < 1.2.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-90952MEDIUMWP Edit Password Protected 2.0.0 - 2.0.6 - Unauthenticated Site-Wide Access Mode Bypass via REST APIEPSS 0.2%CVE-2024-44156HIGHA path deletion vulnerability was addressed by preventing vulnerable code from running with privileges. This issue is fixed in macOS SequoiaEPSS 0.2%CVE-2025-14272HIGHRockwell Automation FactoryTalk Analytics PavilionXEPSS 0.2%CVE-2025-2276MEDIUMUltimate Dashboard <= 3.8.7 - Missing Authorization to Authenticated (Subscriber+) Plugin Modules Activation/DeactivationEPSS 0.2%CVE-2026-90599MEDIUMRizwan17 inventory-management-system process.php cross-site request forgeryEPSS 0.2%CVE-2025-12498MEDIUMEventPrime – Events Calendar, Bookings and Tickets <= 4.2.0.0 - Missing Authorization to Authenticated (Subscriber+) Booking Note CreationEPSS 0.2%CVE-2026-32408MEDIUMWordPress Brizy plugin <= 2.7.23 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-53374LOWDokploy Improperly Discloses User Information via user.one EndpointEPSS 0.2%CVE-2025-68592MEDIUMWordPress WP Adminify plugin <= 4.0.6.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24535MEDIUMWordPress Automatic Featured Images from Videos plugin <= 1.2.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-71322MEDIUMLemur: Missing authorization check on POST /certificates/<id>/export for plugins with requires_key = FalseEPSS 0.2%