Falhas do tipo CWE-862

9.220 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-62960MEDIUMWordPress Construction Light theme <= 1.6.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-93950HIGHWordPress Motors theme <= 1.4.108 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66152MEDIUMWordPress Criptopayer for Elementor plugin <= 1.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66145MEDIUMWordPress Worker for WPBakery plugin <= 1.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62108MEDIUMWordPress Add Custom Codes plugin <= 4.80 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-39789HIGHWordPress Fluent Affiliate Pro plugin <= 1.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66153MEDIUMWordPress Headinger for Elementor plugin <= 1.1.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66151MEDIUMWordPress Countdowner for Elementor plugin <= 1.0.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69341MEDIUMWordPress WeDesignTech Ultimate Booking Addon plugin <= 1.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69349MEDIUMWordPress RSS Feed Widget plugin <= 3.0.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-39723HIGHWordPress Morning for WooCommerce plugin <= 2.4.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66146MEDIUMWordPress Logger for Elementor plugin <= 1.0.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66150MEDIUMWordPress Appender plugin <= 1.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-105072HIGHWordPress FluentBooking Pro plugin < 2.5.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66149MEDIUMWordPress UnGrabber plugin <= 3.1.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62091MEDIUMWordPress Serial Codes Generator and Validator with WooCommerce Support plugin <= 2.8.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-103323MEDIUMIntegration for Epos Now and WooCommerce 4.6.0 - 4.11.1 - Unauthenticated Action Scheduler Queue DisclosureEPSS 0.2%CVE-2026-24312MEDIUMMissing authorization check in SAP Business WorkflowEPSS 0.2%CVE-2026-22517MEDIUMWordPress GA4WP: Google Analytics for WordPress plugin <= 2.10.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62961MEDIUMWordPress Sparkle FSE theme <= 1.0.9 - Broken Access Control vulnerabilityEPSS 0.2%