Falhas do tipo CWE-862

9.218 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-11257MEDIUMLLM Hubspot Blog Import <= 1.0.1 - Missing Authorization to Authenticated (Subscriber+) Hubspot ImportEPSS 0.2%CVE-2026-103251HIGHn8n before 1.123.80, 2.39.6, and 2.40.1 Package Install Validation Bypass via PubSubEPSS 0.2%CVE-2025-11887MEDIUMSupervisor <= 1.3.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%CVE-2026-2299MEDIUMImproper Access Control in Mattermost Google Drive Plugin File Creation EndpointEPSS 0.2%CVE-2025-68522MEDIUMWordPress WpStream plugin <= 4.9.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-0951MEDIUMLiquidThemes Themes <= Various Versions - Missing Authorization to Authenticated (Subscriber+) All Plugins DeactivatedEPSS 0.2%CVE-2025-13136MEDIUMGSheetConnector For Ninja Forms <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) System Information ExposureEPSS 0.2%CVE-2026-97285MEDIUMWordPress The Events Calendar plugin <= 6.17.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-13812MEDIUMGamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress <= 7.6.1 - Missing Authorization to Authenticated (Subscriber+) Information ExposureEPSS 0.2%CVE-2026-24545MEDIUMWordPress QR Redirector plugin <= 2.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64681LOWIn JetBrains Hub before 2025.3.104992 a race condition allowed bypass of the user limit via invitationsEPSS 0.2%CVE-2026-24582MEDIUMWordPress FlexTable plugin <= 3.24.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12822MEDIUMWP Login and Register using JWT <= 3.0.0 - Missing Authorization to Authenticated (Subscriber+) API Key ExposureEPSS 0.2%CVE-2025-43318MEDIUMThis issue was addressed with additional entitlement checks. This issue is fixed in macOS Tahoe 26. An app with root privileges may be able EPSS 0.2%CVE-2026-24527MEDIUMWordPress Autoship Cloud for WooCommerce Subscription Products plugin <= 2.14.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-10489MEDIUMSureForms – Drag and Drop Form Builder for WordPress <= 1.12.0 - Missing Authorization to Authenticated (Contributor+) Form CreationEPSS 0.2%CVE-2026-90974MEDIUMWP Fusion Lite 3.37.14 - 3.47.14 - Unauthenticated CRM Integration Settings UpdateEPSS 0.2%CVE-2026-108165MEDIUMImmich through 3.3.1 Missing Authorization in Partner Sync Exposes Locked Folder MetadataEPSS 0.2%CVE-2025-67561MEDIUMWordPress Debug Log Viewer plugin <= 2.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66147MEDIUMWordPress Coder for Elementor plugin <= 1.0.13 - Broken Access Control vulnerabilityEPSS 0.2%