Falhas do tipo CWE-862

9.063 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-32394MEDIUMWordPress PublishPress Capabilities plugin <= 2.31.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-8595MEDIUMZakra <= 4.1.5 - Missing Authorization to Subscriber+ Demo ImportEPSS 0.2%CVE-2026-32408MEDIUMWordPress Brizy plugin <= 2.7.23 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-90952MEDIUMWP Edit Password Protected 2.0.0 - 2.0.6 - Unauthenticated Site-Wide Access Mode Bypass via REST APIEPSS 0.2%CVE-2026-32391MEDIUMWordPress SmartFix theme < 1.2.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-90599MEDIUMRizwan17 inventory-management-system process.php cross-site request forgeryEPSS 0.2%CVE-2026-96613HIGHMissing Authorization in Meari IoT Cloud Platform OpenAPI ServiceEPSS 0.2%CVE-2026-13406MEDIUMRoyal Elementor Addons < 1.7.1066 - Unauthenticated Taxonomy Term DisclosureEPSS 0.2%CVE-2026-3638MEDIUMImproper access control in user and role restore API endpoints in Devolutions Server 2025.3.11.0 and earlier allows a low-privileged authentEPSS 0.2%CVE-2025-14272HIGHRockwell Automation FactoryTalk Analytics PavilionXEPSS 0.2%CVE-2026-106217MEDIUMMissing authorization in Google Lens in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer procEPSS 0.2%CVE-2026-11446MEDIUMBooktics – Booking Calendar for Appointments and Service Businesses <= 1.0.23 - Missing AuthorizationEPSS 0.2%CVE-2026-1169MEDIUMbirkir prime cross-site request forgeryEPSS 0.2%CVE-2025-12075MEDIUMOrder Splitter for WooCommerce <= 5.3.5 - Missing Authorization to Authenticated (Subscriber+) Order Information ExposureEPSS 0.2%CVE-2025-12847MEDIUMAll in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic <= 4.8.9 - Missing Authorization to Authenticated (Contributor+) Arbitrary Media DeletionEPSS 0.2%CVE-2026-107395MEDIUMIndico: Missing access check in legacy session export APIEPSS 0.2%CVE-2024-44156HIGHA path deletion vulnerability was addressed by preventing vulnerable code from running with privileges. This issue is fixed in macOS SequoiaEPSS 0.2%CVE-2025-66528MEDIUMWordPress Thank You Page Customizer for WooCommerce plugin <= 1.1.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2024-0394HIGHRapid7 Minerva Armor Privilege EscalationEPSS 0.2%CVE-2025-12900MEDIUMFileBird – WordPress Media Library Folders & File Manager <= 6.5.1 - Missing Authorization to Authenticated (Author+) Global Folders TamperingEPSS 0.2%