Falhas do tipo CWE-862

9.081 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-43311MEDIUMThis issue was addressed with additional entitlement checks. This issue is fixed in macOS Sequoia 15.7, macOS Sonoma 14.8, macOS Tahoe 26. AEPSS 0.2%CVE-2026-106289MEDIUMMissing authorization in FedCM in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to bypass web origin policy via a crafted HEPSS 0.2%CVE-2026-24947MEDIUMWordPress LA-Studio Element Kit for Elementor plugin < 1.5.6.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-14873HIGHBulk Password Reset <= 1.3.3 - Authenticated (Subscriber+) Arbitrary Password ResetEPSS 0.2%CVE-2026-52839LOWEasy!Appointments appointments/store and appointments/update allow cross-provider appointment injection — Authorization BypassEPSS 0.2%CVE-2026-1142MEDIUMPHPGurukul News Portal cross-site request forgeryEPSS 0.2%CVE-2025-62935MEDIUMWordPress Open Close WooCommerce Store plugin <= 5.0.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24544MEDIUMWordPress HD Quiz plugin <= 2.0.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-95526HIGHWordPress BEAR plugin <= 1.2.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106264MEDIUMMissing authorization in Web Authentication (Passkeys & Security Keys) in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to EPSS 0.2%CVE-2026-63691MEDIUMDell Container Storage Modules, versions prior to 1.18.0, contain(s) a Missing Authorization vulnerability in the Dell CSI Driver for PowerMEPSS 0.2%CVE-2026-40581HIGHChurchCRM: Cross-Site Request Forgery (CSRF) in SelectDelete.php Leading to Permanent Data DeletionEPSS 0.2%CVE-2026-24541MEDIUMWordPress Download After Email plugin <= 2.1.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-100266HIGHIn JetBrains Hub before 2026.2.52366 missing authorisation allowed authenticated users to send arbitrary emails from the server's trusted adEPSS 0.2%CVE-2026-103659HIGHMISP: Object Distribution ACL Bypass via Event Flattening Exposes Organisation-Only AttributesEPSS 0.2%CVE-2026-16543HIGHKong Operator cluster-wide ingress configuration DoS via embedded KIC CA-certificate ID collisionEPSS 0.2%CVE-2025-48916MEDIUMBookable Calendar - Less critical - Access bypass - SA-CONTRIB-2025-070EPSS 0.2%CVE-2026-104397MEDIUMWordPress Name Directory plugin <= 1.34.2 - Arbitrary Shortcode Execution vulnerabilityEPSS 0.2%CVE-2026-15228HIGHKong Kubernetes Ingress Controller cluster-wide ingress configuration DoS via CA-certificate ID collisionEPSS 0.2%CVE-2026-19200HIGHVelociraptor Analyst overwrites live built-in artifacts through verify()EPSS 0.2%