Falhas do tipo CWE-862

9.154 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-62099MEDIUMWordPress Signature Add-On for Gravity Forms plugin <= 1.8.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105209CRITICALZITADEL before 3.4.15 and 4.17.1 Cross-Organization Account Takeover via Passkey EnrollmentEPSS 0.2%CVE-2026-71895HIGHApache DolphinScheduler: Missing Authorization Checks Allow Non-Admin Users to Retrieve Kubernetes CredentialsEPSS 0.2%CVE-2025-54045MEDIUMWordPress CM On Demand Search And Replace plugin <= 1.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64244MEDIUMWordPress Restrict Elementor Widgets, Columns and Sections plugin <= 1.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-7782HIGHWP JobHunt <= 7.7 - Missing Authorization to Authenticated (Candidate+) Stored Cross-Site Scripting via 'status'EPSS 0.2%CVE-2025-62995MEDIUMWordPress MultiParcels Shipping For WooCommerce plugin <= 1.30.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64246MEDIUMWordPress Accessibility by AudioEye plugin <= 1.0.49 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64248MEDIUMWordPress Request a Quote plugin <= 2.5.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62078MEDIUMWordPress Easy Upload Files During Checkout plugin <= 3.0.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68588MEDIUMWordPress TS Poll plugin <= 2.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-95278HIGHMissing authorization in WakeLock in Google Chrome prior to 154.0.8037.57 allowed a remote attacker who had compromised the renderer processEPSS 0.2%CVE-2025-13935MEDIUMTutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Course CompletionEPSS 0.2%CVE-2026-0687MEDIUMMeta-box GalleryMeta <= 3.0.1 - Missing Authorization to Authenticated (Author+) Gallery ManagementEPSS 0.2%CVE-2025-68587MEDIUMWordPress Watu Quiz plugin <= 3.4.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106312MEDIUMMissing authorization in SignIn in Google Chrome prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to obtain seEPSS 0.2%CVE-2025-10476MEDIUMWP Fastest Cache <= 1.4.0 - Missing Authorization to Authenticated (Subscriber+) DB Cleanup ActionsEPSS 0.2%CVE-2025-49880MEDIUMWordPress CubeWP Forms plugin <= 1.1.5 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-49857MEDIUMWordPress myCred plugin <= 2.9.4.2 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-13391MEDIUMProduct Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) <= 4.9.60 - Missing Authorization to Unauthenticated Arbitrary Attachment and Dropbox File DeletionEPSS 0.2%