Falhas do tipo CWE-862

9.218 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-66153MEDIUMWordPress Headinger for Elementor plugin <= 1.1.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62070MEDIUMWordPress WowRevenue plugin <= 1.2.13 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62961MEDIUMWordPress Sparkle FSE theme <= 1.0.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66149MEDIUMWordPress UnGrabber plugin <= 3.1.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66145MEDIUMWordPress Worker for WPBakery plugin <= 1.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69349MEDIUMWordPress RSS Feed Widget plugin <= 3.0.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-53514HIGHBetter Auth: Unauthorized invitation acceptance via unverified email match in organization pluginEPSS 0.2%CVE-2025-12389MEDIUMImport Export For WooCommerce <= 1.6.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%CVE-2025-12675MEDIUMKiotViet Sync <= 1.8.5 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%CVE-2025-68522MEDIUMWordPress WpStream plugin <= 4.9.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12014MEDIUMNGINX Cache Optimizer <= 1.1 - Missing Authorization to Authenticated (Subscriber+) Dynamic Caching Exclusion UpdateEPSS 0.2%CVE-2026-65422MEDIUMA flaw in the authorization mechanism for Media Gateway API in Genetec Security Center may allow a user with no playback privileges to generEPSS 0.2%CVE-2026-15823MEDIUMBuilderall for WordPress <= 3.0.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Meta Modification via 'ba_cheetah_data[post_id]' ParameterEPSS 0.2%CVE-2026-4590LOWkalcaddle kodbox loginSubmit API index.class.php cross-site request forgeryEPSS 0.2%CVE-2026-105891MEDIUMWordPress Event Tickets plugin <= 5.30.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-85209MEDIUMIDOR in AVEZ Electronics's LMSEPSS 0.2%CVE-2026-107352MEDIUMMissing authorization checks in Amazon Athena engine version 3 request handlingEPSS 0.2%CVE-2025-11255MEDIUMPassword Policy Manager | Password Manager <= 2.0.5 - Missing Authorization to Authenticated (Subscriber+) Configuration Log OutEPSS 0.2%CVE-2025-11257MEDIUMLLM Hubspot Blog Import <= 1.0.1 - Missing Authorization to Authenticated (Subscriber+) Hubspot ImportEPSS 0.2%CVE-2026-54608HIGHMythicalDash: Unauthenticated payment bypass in Stripe success-redirect endpoint allows arbitrary free credit top-upEPSS 0.2%