Falhas do tipo CWE-862

9.221 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-25019MEDIUMWordPress Atarim plugin <= 4.3.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-55716MEDIUMWordPress WP Statistics Plugin <= 14.15 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2026-100879MEDIUMzhistaredu StarTraining dataScope Endpoint SysRoleServiceImpl.java checkRoleAllowed authorizationEPSS 0.2%CVE-2025-57884MEDIUMWordPress Greenshift Plugin <= 12.1.1 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-54712MEDIUMWordPress Easy Elementor Addons Plugin <= 2.2.7 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-13859MEDIUMAffiliateX 1.0.0 - 1.3.9.3 - Authenticated (Subscriber+) Missing Authorization to Stored Cross-Site Scripting via save_customization_settingsEPSS 0.2%CVE-2025-58193MEDIUMWordPress Uncanny Automator Plugin <= 6.7.0.1 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-53910MEDIUMUnauthorized Channel Subscription Edit in Mattermost Confluence PluginEPSS 0.2%CVE-2026-25314MEDIUMWordPress TOP Table Of Contents plugin <= 1.3.31 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24310LOWMissing Authorization check in SAP NetWeaver Application Server for ABAPEPSS 0.2%CVE-2026-25363MEDIUMWordPress FooGallery plugin <= 3.1.11 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-58482MEDIUMNetwork-AI: ApprovalInbox HTTP server has no authentication — anyone can approve pending agent actionsEPSS 0.2%CVE-2026-25308MEDIUMWordPress Simple Membership plugin <= 4.6.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25021MEDIUMWordPress Mizan Demo Importer plugin <= 0.1.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-24622MEDIUMWordPress Suggestion Toolkit plugin <= 5.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25416MEDIUMWordPress News Kit Elementor Addons plugin <= 1.4.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25402MEDIUMWordPress Knowledge Base for Documentation, FAQs with AI Assistance plugin <= 16.011.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25330MEDIUMWordPress PublishPress Authors plugin <= 4.10.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-19043MEDIUMAuthorization Bypass Critical POS Management Functions in Menulux Software's Menulux PortalEPSS 0.2%CVE-2026-87979MEDIUMPaymob for WooCommerce < 4.1.14 - Unauthenticated Saved Card Token Write to Any User via WebhookEPSS 0.2%