Falhas do tipo CWE-862

9.243 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-69333MEDIUMWordPress JetEngine plugin <= 3.8.1.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-88931MEDIUMSocial Web Suite <= 4.1.12 - Unauthenticated Arbitrary Plugin Settings UpdateEPSS 0.2%CVE-2026-25426MEDIUMWordPress Taxi Booking Manager for WooCommerce plugin <= 2.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66108MEDIUMWordPress TNC Toolbox: Web Performance plugin <= 2.0.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106406MEDIUMMissing authorization in Mobile in Google Chrome on on iOS prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering toEPSS 0.2%CVE-2025-67588MEDIUMWordPress Elementor Website Builder plugin <= 3.33.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-106600MEDIUMWordPress GiveWP plugin <= 4.18.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-108663MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/deleteApplyEPSS 0.2%CVE-2026-108874MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/changeDepartChargePersonEPSS 0.2%CVE-2026-109564LOWLearnHouse before 1.4.0 Missing Authorization via Playground Duplicate EndpointEPSS 0.2%CVE-2026-108665MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/editEPSS 0.2%CVE-2026-108670MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/experimentEPSS 0.2%CVE-2026-108880MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/dict/editDictByLowAppIdEPSS 0.2%CVE-2026-104079MEDIUMEnvira Gallery Lite < 1.16.2 Missing Authorization via Gallery Conversion REST EndpointEPSS 0.2%CVE-2026-108675MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/annountCement/editIzTopEPSS 0.2%CVE-2026-108876MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/putCancelQuitEPSS 0.2%CVE-2025-64729HIGHAVEVA Process Optimization Missing AuthorizationEPSS 0.2%CVE-2026-108660MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/tenant/updateApplyStatusEPSS 0.2%CVE-2025-43331MEDIUMA downgrade issue was addressed with additional code-signing restrictions. This issue is fixed in macOS Tahoe 26. An app may be able to acceEPSS 0.2%CVE-2026-108875MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/addSysUserGroupEPSS 0.2%