Falhas do tipo CWE-862

9.220 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-93950HIGHWordPress Motors theme <= 1.4.108 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-39789HIGHWordPress Fluent Affiliate Pro plugin <= 1.6.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-103323MEDIUMIntegration for Epos Now and WooCommerce 4.6.0 - 4.11.1 - Unauthenticated Action Scheduler Queue DisclosureEPSS 0.2%CVE-2025-66151MEDIUMWordPress Countdowner for Elementor plugin <= 1.0.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-39117HIGHIn messaging service, there is a missing permission check. This could lead to local information disclosure with no additional execution privEPSS 0.2%CVE-2026-105072HIGHWordPress FluentBooking Pro plugin < 2.5.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-96335HIGHWordPress Forminator plugin <= 1.57.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62108MEDIUMWordPress Add Custom Codes plugin <= 4.80 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-65422MEDIUMA flaw in the authorization mechanism for Media Gateway API in Genetec Security Center may allow a user with no playback privileges to generEPSS 0.2%CVE-2026-103251HIGHn8n before 1.123.80, 2.39.6, and 2.40.1 Package Install Validation Bypass via PubSubEPSS 0.2%CVE-2026-107352MEDIUMMissing authorization checks in Amazon Athena engine version 3 request handlingEPSS 0.2%CVE-2026-105891MEDIUMWordPress Event Tickets plugin <= 5.30.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-68522MEDIUMWordPress WpStream plugin <= 4.9.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12014MEDIUMNGINX Cache Optimizer <= 1.1 - Missing Authorization to Authenticated (Subscriber+) Dynamic Caching Exclusion UpdateEPSS 0.2%CVE-2026-2299MEDIUMImproper Access Control in Mattermost Google Drive Plugin File Creation EndpointEPSS 0.2%CVE-2026-48783MEDIUMPostiz has an unauthenticated billing-enforcement bypass via /public/modify-subscriptionEPSS 0.2%CVE-2025-11255MEDIUMPassword Policy Manager | Password Manager <= 2.0.5 - Missing Authorization to Authenticated (Subscriber+) Configuration Log OutEPSS 0.2%CVE-2026-4590LOWkalcaddle kodbox loginSubmit API index.class.php cross-site request forgeryEPSS 0.2%CVE-2025-11887MEDIUMSupervisor <= 1.3.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%CVE-2025-12389MEDIUMImport Export For WooCommerce <= 1.6.2 - Missing Authorization to Authenticated (Subscriber+) Settings UpdateEPSS 0.2%