Falhas do tipo CWE-862

9.222 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-25393MEDIUMWordPress Hello FSE theme <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-87979MEDIUMPaymob for WooCommerce < 4.1.14 - Unauthenticated Saved Card Token Write to Any User via WebhookEPSS 0.2%CVE-2026-25314MEDIUMWordPress TOP Table Of Contents plugin <= 1.3.31 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25394MEDIUMWordPress Fitness FSE theme <= 1.0.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-8285MEDIUMUnauthorized Channel Subscription Creation in Mattermost Confluence PluginEPSS 0.2%CVE-2026-25308MEDIUMWordPress Simple Membership plugin <= 4.6.9 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-25330MEDIUMWordPress PublishPress Authors plugin <= 4.10.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-14103MEDIUMMissing Authorization in GitLabEPSS 0.2%CVE-2026-58482MEDIUMNetwork-AI: ApprovalInbox HTTP server has no authentication — anyone can approve pending agent actionsEPSS 0.2%CVE-2025-9542MEDIUMAutomatorWP <= 5.3.7 - Authenticated (Subscriber+) Missing Authorization to Multiple FunctionsEPSS 0.2%CVE-2026-24990MEDIUMWordPress WP Docs plugin <= 2.2.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12174MEDIUMDirectorist: AI-Powered Business Directory Plugin with Classified Ads Listings <= 8.5.2 - Missing Authorization to Authenticated (Subscriber+) Data Export and Slug UpdateEPSS 0.2%CVE-2026-25313MEDIUMWordPress FluentForm plugin <= 6.1.14 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-2278MEDIUMVW Writer Blog <= 1.3.8 - Missing Authorization to Authenticated (Subscriber+) Theme Settings ResetEPSS 0.2%CVE-2025-64215MEDIUMWordPress MasterStudy LMS Pro plugin < 4.7.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2024-13419MEDIUMSmart Framework <= Multiple Plugins - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-64263MEDIUMWordPress WP Content Pilot plugin <= 2.1.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-68928HIGHAcode: Exported TerminalService (bundled terminal plugin) lets any installed app execute arbitrary shell commands as AcodeEPSS 0.2%CVE-2025-62072MEDIUMWordPress Front End Users plugin <= 3.2.33 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-62965MEDIUMWordPress Admin Management Xtended plugin <= 2.5.1 - Broken Access Control vulnerabilityEPSS 0.2%