Falhas do tipo CWE-862

9.235 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-13611MEDIUMKiviCare – Clinic & Patient Management System (EHR) < 4.5.5 - Unauthenticated Patient Data DisclosureEPSS 0.2%CVE-2026-108886MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/queryChildrenByUsernameEPSS 0.2%CVE-2026-109356MEDIUMLibreNMS before 26.9.0 Missing Authorization in Port Purge via PortsControllerEPSS 0.2%CVE-2025-69361MEDIUMWordPress Post Expirator plugin <= 4.9.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109668MEDIUMFrappe ERPNext before 15.110.0 Missing Authorization in Party Record EndpointsEPSS 0.2%CVE-2025-64269MEDIUMWordPress WooCommerce PDF Invoice Builder plugin <= 1.2.150 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109664MEDIUMFrappe ERPNext before 15.112.0 Missing Authorization Allows Arbitrary Record ModificationEPSS 0.2%CVE-2026-109598MEDIUMFrappe before 16.33.0 Broken Authorization via send_sms EndpointEPSS 0.2%CVE-2026-109629MEDIUMFrappe ERPNext before 15.121.3 Missing Authorization in Transactional Email EndpointEPSS 0.2%CVE-2025-69333MEDIUMWordPress JetEngine plugin <= 3.8.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109635MEDIUMFrappe ERPNext before 15.105.0 Missing Authorization in Document Creation EndpointsEPSS 0.2%CVE-2026-28615CRITICALIn Telecomm, there is a possible way to initiate an unauthorized phone call due to a permissions bypass. This could lead to local escalationEPSS 0.2%CVE-2026-109611MEDIUMFrappe ERPNext before 15.121.0 Missing Authorization in Certain EndpointsEPSS 0.2%CVE-2025-59005MEDIUMWordPress Categorify plugin <= 1.0.7.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-69336MEDIUMWordPress Ultimate Store Kit Elementor Addons plugin <= 2.9.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109622MEDIUMFrappe ERPNext before 15.121.0 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-109599MEDIUMFrappe before 15.113.3 Missing Authorization Allows Unauthorized Record ModificationEPSS 0.2%CVE-2026-25011MEDIUMWordPress WP Custom Admin Interface plugin <= 7.41 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-91713MEDIUMMissing authorization in Browser in Google Chrome prior to 153.0.8010.47 allowed a remote attacker who had compromised the renderer process EPSS 0.2%CVE-2026-109665MEDIUMFrappe ERPNext before 15.108.0 Missing Authorization Allows Master Record DeactivationEPSS 0.2%