Falhas do tipo CWE-862

9.151 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-58639MEDIUMWordPress Contact Form By Mega Forms Plugin <= 1.6.1 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-42991MEDIUMMissing Authorization check in SAP S/4HANA (Bank Account Application)EPSS 0.2%CVE-2026-2504MEDIUMDealia – Request a quote <= 1.0.7 - Missing Authorization to Authenticated (Contributor+) Plugin Configuration ResetEPSS 0.2%CVE-2026-24190HIGHNVIDIA Display Driver for Windows and Linux contains a vulnerability in the kernel mode layer, where a user could cause improper access to GEPSS 0.2%CVE-2026-15760MEDIUMDivi Essentials <= 5.8.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via dnxte_get_database_data AJAX ActionEPSS 0.2%CVE-2025-1358MEDIUMPix Software Vivaz cross-site request forgeryEPSS 0.2%CVE-2026-17563MEDIUMWP User Frontend < 4.3.11 - Unauthenticated Post Creation via Subscription-Gated FormEPSS 0.2%CVE-2026-25408MEDIUMWordPress Broken Link Notifier plugin <= 1.3.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-1778MEDIUMArt Theme <= 3.12.2.3 - Missing Authorization to Authenticated (Subscriber+) Theme Option DeleteEPSS 0.2%CVE-2026-92437MEDIUMMailchimp for WooCommerce < 6.3 - Unauthenticated Abandoned Cart Modification and DeletionEPSS 0.2%CVE-2024-50573MEDIUMIn JetBrains Hub before 2024.3.47707 improper access control allowed users to generate permanent tokens for unauthorized servicesEPSS 0.2%CVE-2026-18042MEDIUMWP Travel < 12.0.2 - Unauthenticated Arbitrary Booking CancellationEPSS 0.2%CVE-2025-42987MEDIUMMissing Authorization Check in SAP S/4HANA (Manage Processing Rules - For Bank Statement)EPSS 0.2%CVE-2025-28103MEDIUMIncorrect access control in laskBlog v2.6.1 allows attackers to arbitrarily delete user accounts via a crafted request.EPSS 0.2%CVE-2026-83555MEDIUMEmail Subscribers by Icegram Express < 5.9.35 - Unauthenticated Subscription Status Change via Missing Token VerificationEPSS 0.2%CVE-2025-25081MEDIUMWordPress Embed RSS plugin <= 3.1 - Arbitrary Shortcode Execution vulnerabilityEPSS 0.2%CVE-2025-64247MEDIUMWordPress Read More & Accordion plugin <= 3.5.5.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105209CRITICALZITADEL before 3.4.15 and 4.17.1 Cross-Organization Account Takeover via Passkey EnrollmentEPSS 0.2%CVE-2025-66526MEDIUMWordPress Tablesome plugin <= 1.1.34 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64246MEDIUMWordPress Accessibility by AudioEye plugin <= 1.0.49 - Broken Access Control vulnerabilityEPSS 0.2%