Falhas do tipo CWE-862

9.223 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-12156MEDIUMAi Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT ) All in One 2.0.7 - 2.2.6 - Missing Authorization to Authenticated (Subscriber+) Post CreationEPSS 0.2%CVE-2026-103495MEDIUMIn JetBrains YouTrack before 2026.2.19422 missing authorisation allowed reloading of translation catalogsEPSS 0.2%CVE-2026-18709MEDIUMMissing Authorization in MongoDB Sharded Transaction Commit/Abort Handling Leads to Cross-Shard Data InconsistencyEPSS 0.2%CVE-2024-12145MEDIUMBuddyPress <= 14.3.3 - Insecure Direct Object Reference to Notifications DeletionEPSS 0.2%CVE-2026-108496MEDIUMWordPress WP User Manager plugin <= 2.9.23 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-30731MEDIUMImproper access control vulnerability in My Files prior to version 13.1.00.193 allows attackers to access arbitrary private files in My FileEPSS 0.2%CVE-2026-23681MEDIUMMissing Authorization check in a function module in SAP Support Tools Plug-InEPSS 0.2%CVE-2025-12582MEDIUMFeatures <= 0.0.2 - Missing Authorization to Authenticated (Subscriber+) Option ResetEPSS 0.2%CVE-2025-12665MEDIUMNinja Countdown <= 1.5.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Countdown DeletionEPSS 0.2%CVE-2025-12563MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.6.0 - Incorrect Authorization to Video File UploadEPSS 0.2%CVE-2025-60166MEDIUMWordPress WP Subscription Forms PRO Plugin <= 2.0.5 - Arbitrary Content Deletion VulnerabilityEPSS 0.2%CVE-2025-27432LOWMissing Authorization check in SAP Electronic Invoicing for Brazil (eDocument Cockpit)EPSS 0.2%CVE-2025-64219MEDIUMWordPress Business Directory plugin <= 6.4.18 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-42851HIGH@kitty-edit DCS + --color=geninclude vulnerable to Unauthenticated in-process RCEEPSS 0.2%CVE-2026-93620MEDIUMWordPress PayPlus Payment Gateway plugin <= 8.2.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108659MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/listPackByTenantUserIdEPSS 0.2%CVE-2026-107850MEDIUMContao: Improper access control in the preview links moduleEPSS 0.2%CVE-2026-108658MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/queryTenantAuthInfoEPSS 0.2%CVE-2026-108664MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/queryByIdEPSS 0.2%CVE-2026-108891MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/getUserDetailByUserIdEPSS 0.2%