Falhas do tipo CWE-862

9.154 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2022-41656MEDIUMWordPress Account Manager for WooCommerce plugin <= 2.1.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25028MEDIUMWordPress ElementInvader Addons for Elementor plugin <= 1.4.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-71460MEDIUMAutomation-controller: automation-controller-container: automation-controller: any authenticated user reads red hat subscription/license details via /config/EPSS 0.2%CVE-2025-58201MEDIUMWordPress AfterShip Tracking Plugin <= 1.17.17 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-68521MEDIUMWordPress WpStream plugin <= 4.9.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62970MEDIUMWordPress Link Whisper Free plugin <= 0.9.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-0092CRITICALIn Package Manager, there is a possible device lock controller bypass due to a missing permission check. This could lead to local escalationEPSS 0.2%CVE-2026-95290MEDIUMMissing authorization in NFC in Google Chrome prior to 154.0.8037.57 allowed a remote attacker who had compromised the renderer process to bEPSS 0.2%CVE-2026-86827MEDIUMBackWPup 3.3 - 5.7.6 - Unauthenticated Backup Job Execution via wp-cron.phpEPSS 0.2%CVE-2025-48009LOWSingle Content Sync - Moderately critical - Access bypass - SA-CONTRIB-2025-060EPSS 0.2%CVE-2025-69093MEDIUMWordPress ShopMagic plugin <= 4.7.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68861HIGHWordPress Plugin Optimizer plugin <= 1.3.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-7663MEDIUMOvatheme Events Manager <= 1.8.6 - Missing AuthorizationEPSS 0.2%CVE-2026-86842MEDIUMReal3D Flipbook Lite < 5.4 - Author+ Content Deletion and Stored XSS via Global Settings OverwriteEPSS 0.2%CVE-2026-97061MEDIUMBlack Candy through 3.2.1 Information Disclosure via Playlist SearchEPSS 0.2%CVE-2025-1777MEDIUMBM Content Builder <= 3.16.2.1 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via ux_cb_page_options_saveEPSS 0.2%CVE-2026-95287MEDIUMMissing authorization in Navigation in Google Chrome prior to 154.0.8037.57 allowed a remote attacker who had compromised the renderer proceEPSS 0.2%CVE-2025-62027MEDIUMWordPress Event Tickets plugin <= 5.26.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64358MEDIUMWordPress Smart Coupons for WooCommerce plugin <= 2.2.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-53217HIGHWordPress AIO WP Builder Plugin <= 2.0.2 - Broken Access Control VulnerabilityEPSS 0.2%