Falhas do tipo CWE-862

9.222 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-97304MEDIUMWordPress Timetics plugin <= 1.0.63 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109172MEDIUMyshop-crm through 2.1.3 Missing Authorization via contract-receivables check endpointEPSS 0.2%CVE-2026-2233MEDIUMUser Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration <= 4.2.8 - Missing Authorization to Unauthenticated Arbitrary Post Modification via 'post_id' ParameterEPSS 0.2%CVE-2026-68928HIGHAcode: Exported TerminalService (bundled terminal plugin) lets any installed app execute arbitrary shell commands as AcodeEPSS 0.2%CVE-2025-62072MEDIUMWordPress Front End Users plugin <= 3.2.33 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64215MEDIUMWordPress MasterStudy LMS Pro plugin < 4.7.16 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109171MEDIUMyshop-crm through 2.1.3 Missing Authorization via /admin-api/crm/contract/checkEPSS 0.2%CVE-2025-62965MEDIUMWordPress Admin Management Xtended plugin <= 2.5.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108701MEDIUM1Panel-dev CordysCRM before 1.9.2 Missing Authorization via POST /contract/sortEPSS 0.2%CVE-2025-64263MEDIUMWordPress WP Content Pilot plugin <= 2.1.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64261MEDIUMWordPress Appointment Booking Calendar plugin <= 1.3.95 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108742MEDIUMCloudBeaver through 25.3.5 Missing Authorization via initConnection GraphQL MutationEPSS 0.2%CVE-2024-13419MEDIUMSmart Framework <= Multiple Plugins - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-9194MEDIUMConstructor <= 1.6.5 - Missing Authorization to Authenticated (Subscriber+) Theme CleanEPSS 0.2%CVE-2024-12145MEDIUMBuddyPress <= 14.3.3 - Insecure Direct Object Reference to Notifications DeletionEPSS 0.2%CVE-2025-12563MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.6.0 - Incorrect Authorization to Video File UploadEPSS 0.2%CVE-2022-30731MEDIUMImproper access control vulnerability in My Files prior to version 13.1.00.193 allows attackers to access arbitrary private files in My FileEPSS 0.2%CVE-2026-106597MEDIUMWordPress User Registration plugin <= 5.2.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12665MEDIUMNinja Countdown <= 1.5.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Countdown DeletionEPSS 0.2%CVE-2025-12582MEDIUMFeatures <= 0.0.2 - Missing Authorization to Authenticated (Subscriber+) Option ResetEPSS 0.2%