Falhas do tipo CWE-862

9.151 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-0687MEDIUMMeta-box GalleryMeta <= 3.0.1 - Missing Authorization to Authenticated (Author+) Gallery ManagementEPSS 0.2%CVE-2025-54045MEDIUMWordPress CM On Demand Search And Replace plugin <= 1.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66069MEDIUMWordPress PPOM for WooCommerce plugin <= 33.0.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62995MEDIUMWordPress MultiParcels Shipping For WooCommerce plugin <= 1.30.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62993MEDIUMWordPress Notification for Telegram plugin <= 3.5.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-54005MEDIUMWordPress SKT Page Builder plugin <= 4.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64244MEDIUMWordPress Restrict Elementor Widgets, Columns and Sections plugin <= 1.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-13934MEDIUMTutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Course Enrollment BypassEPSS 0.2%CVE-2025-63025MEDIUMWordPress Xagio SEO plugin <= 7.1.0.37 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64238MEDIUMWordPress WPS Bidouille plugin <= 1.33.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106312MEDIUMMissing authorization in SignIn in Google Chrome prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to obtain seEPSS 0.2%CVE-2025-64242MEDIUMWordPress Easy Property Listings plugin <= 3.5.22 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68588MEDIUMWordPress TS Poll plugin <= 2.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-59001MEDIUMWordPress Salient Core plugin <= 3.0.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-71895HIGHApache DolphinScheduler: Missing Authorization Checks Allow Non-Admin Users to Retrieve Kubernetes CredentialsEPSS 0.2%CVE-2025-64243MEDIUMWordPress Directory Pro plugin <= 2.5.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-7782HIGHWP JobHunt <= 7.7 - Missing Authorization to Authenticated (Candidate+) Stored Cross-Site Scripting via 'status'EPSS 0.2%CVE-2025-13628MEDIUMTutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Coupon ModificationEPSS 0.2%CVE-2025-62115MEDIUMWordPress Hide Plugins plugin <= 1.0.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62996MEDIUMWordPress Custom Layouts – Post + Product grids made easy plugin <= 1.4.12 - Broken Access Control vulnerabilityEPSS 0.2%