Falhas do tipo CWE-862

9.100 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-75151MEDIUMSourceCodester Onlne Examination & Learning Management System cross-site request forgeryEPSS 0.2%CVE-2025-58635MEDIUMWordPress Support Genix Plugin <= 1.4.23 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-54730MEDIUMWordPress Embedder for Google Reviews Plugin <= 1.7.3 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-11991MEDIUMJetFormBuilder <= 3.5.3 - Missing Authorization to Unauthenticated Form GenerationEPSS 0.2%CVE-2026-1835MEDIUMlcg0124 BootDo cross-site request forgeryEPSS 0.2%CVE-2025-12892MEDIUMSurvey Maker <= 5.1.9.4 - Missing Authorization to Unauthenticated Limited Option UpdateEPSS 0.2%CVE-2025-12355MEDIUMPayaza <= 0.3.8 - Missing Authorization to Unauthenticated Order Status UpdateEPSS 0.2%CVE-2026-105693MEDIUMPenpot: Anonymous share-link token disclosure & page-scope bypass via get-view-only-bundleEPSS 0.2%CVE-2026-77191LOWAll of the CVEs covered in this advisory apply to affected platforms running Arista EOS with 802.1X authentication and authorization enabled and Access Control Lists (ACLs) configured for per-supplicant policy enforcement. An authenticated supplicant on anEPSS 0.2%CVE-2025-12170MEDIUMCheckbox <= 2.8.10 - Missing Authorization to Unauthenticated Log ClearingEPSS 0.2%CVE-2026-94079MEDIUMWordPress WP User Manager plugin <= 2.9.19 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-57112HIGHPraisonAI ToolsMCPServer legacy SSE transport accepts attacker Host/Origin and exposes registered toolsEPSS 0.2%CVE-2025-59567MEDIUMWordPress Coupon Affiliates Plugin <= 6.8.0 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-64211MEDIUMWordPress Masterstudy Elementor Widgets plugin <= 1.2.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-58634MEDIUMWordPress PeachPay Payments Plugin <= 1.117.4 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2026-2488MEDIUMProfileGrid <= 5.9.8.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Message DeletionEPSS 0.2%CVE-2026-94080MEDIUMWordPress MarketKing plugin <= 2.1.70 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-23547HIGHWordPress CMSMasters Content Composer plugin <= 2.5.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-57896MEDIUMWordPress Church Admin Plugin <= 5.0.26 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-12579MEDIUMReuters Direct <= 3.0.0 - Missing Authorization to Unauthenticated Settings ResetEPSS 0.2%