Falhas do tipo CWE-862

9.163 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-100873MEDIUMmathurvishal CloudClassroom-PHP-Project cross-site request forgeryEPSS 0.2%CVE-2025-11003MEDIUMUiPress lite <= 3.5.09 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-108662MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/deleteTenantPackUserEPSS 0.2%CVE-2026-108800MEDIUMyangzongzhuan RuoYi cross-site request forgeryEPSS 0.2%CVE-2026-103274MEDIUMGhost 5.3.0 before 6.58.0 Unauthenticated Comment ReadEPSS 0.2%CVE-2025-68517MEDIUMWordPress Tablesome plugin <= 1.1.35.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62751MEDIUMWordPress Vireo theme <= 1.0.24 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2024-11916HIGHThe Ultimate WordPress Toolkit – WP Extended <= 3.0.11 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-108882MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/position/removePositionUserEPSS 0.2%CVE-2026-108666MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/deleteBatchEPSS 0.2%CVE-2026-24946MEDIUMWordPress Print Invoice & Delivery Notes for WooCommerce plugin <= 5.8.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-48878MEDIUMCombodo iTop vulnerable to IDOR with ModuleInstallation objectEPSS 0.2%CVE-2026-108668MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/deleteRecycleBinEPSS 0.2%CVE-2026-108885MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/message/sysMessage/deleteEPSS 0.2%CVE-2026-108884MEDIUMJeecgBoot through 3.9.5 Missing Authorization via sysMessageTemplate Delete EndpointEPSS 0.2%CVE-2025-14427MEDIUMShield Security: Blocks Bots, Protects Users, and Prevents Security Breaches <= 21.0.9 - Missing Authorization to Authenticated (Subscriber+) Email MFA UpdateEPSS 0.2%CVE-2026-80337MEDIUMUnauthorized Cross-Chatbot Tool Invocation in HAVELSAN's Sef - AI Chatbot PlatformEPSS 0.2%CVE-2024-23230MEDIUMThis issue was addressed with improved file handling. This issue is fixed in macOS Monterey 12.7.4, macOS Sonoma 14.4, macOS Ventura 13.6.5.EPSS 0.2%CVE-2026-79669MEDIUMEch0 before 4.4.3 Missing Authorization on System LogsEPSS 0.2%CVE-2025-53214MEDIUMWordPress Sertifier Certificate & Badge Maker plugin <= 1.21 - Broken Access Control VulnerabilityEPSS 0.2%