Falhas do tipo CWE-862

9.245 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-43331MEDIUMA downgrade issue was addressed with additional code-signing restrictions. This issue is fixed in macOS Tahoe 26. An app may be able to acceEPSS 0.2%CVE-2026-108679MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/api/sendBusAnnouncementEPSS 0.2%CVE-2026-108665MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/editEPSS 0.2%CVE-2026-108667MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /airag/prompts/revertRecycleBinEPSS 0.2%CVE-2026-108873MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/user/doUpdateDepartInfoEPSS 0.2%CVE-2026-108680MEDIUMJeecgBoot through 3.9.5 Missing Authorization via /sys/api/sendTemplateAnnouncementEPSS 0.2%CVE-2025-68523MEDIUMWordPress Spiffy Calendar plugin <= 5.0.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-15565MEDIUMNexi XPay <= 8.3.0 - Missing Authorization to Unauthenticated Order Status ModificationEPSS 0.2%CVE-2026-3717MEDIUMCV Builder – Professional Resume Builder SaaS <= 1.3.1 - Missing Authorization to Unauthenticated PNG File UploadEPSS 0.2%CVE-2025-68535MEDIUMWordPress Sunshine Photo Cart plugin <= 3.5.7.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-14395MEDIUMPopover Windows <= 1.2 - Missing Authorization to Authenticated (Subscriber+) Popover Configuration Update via AJAX ActionsEPSS 0.2%CVE-2026-70435MEDIUMA missing permission check in Jenkins SCM-Manager Plugin 1.11.1 and earlier allows attackers with Overall/Read permission to connect to an aEPSS 0.2%CVE-2025-64229MEDIUMWordPress Client Invoicing by Sprout Invoices plugin <= 20.8.7 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-12085MEDIUMELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.1 - Missing Authorization to Authenticated (Subscriber+) Trash EmptyEPSS 0.2%CVE-2025-6730MEDIUMBonanza – WooCommerce Free Gifts Lite <= 1.0.0 - Missing Authorization to Authenticated (Subscriber+) Opt In SuccessEPSS 0.2%CVE-2025-12169MEDIUMELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.0 - Missing Authorization to Authenitcated (Subscriber+) to Scheduled Trigger DeletionEPSS 0.2%CVE-2025-12577MEDIUMListar – Directory Listing & Classifieds WordPress Plugin <= 3.0.0 - Missing Authorization to Authenticated (Subscriber+) Listing UpdateEPSS 0.2%CVE-2025-62978MEDIUMWordPress KiotViet Sync plugin <= 1.8.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-13756MEDIUMFluent Booking – The Ultimate Appointments Scheduling, Events Booking, Events Calendar Solution <= 1.9.11 - Authenticated (Subscriber+) Missing Authorization to Calendar Import and ManagementEPSS 0.2%CVE-2026-13236MEDIUMAI Agents - Less critical - Access bypass - SA-CONTRIB-2026-056EPSS 0.2%