Falhas do tipo CWE-862

9.248 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-106598MEDIUMWordPress User Registration plugin <= 5.2.8 - Sensitive Data Exposure vulnerabilityEPSS 0.2%CVE-2026-62040MEDIUMWordPress Restrict User Access – Membership Plugin with Force plugin <= 2.8.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64379MEDIUMWordPress Booster for WooCommerce plugin <= 7.4.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-82211HIGHNexi XPay Build <= 7.6.2 - Unauthenticated Payment Completion and Order Key DisclosureEPSS 0.2%CVE-2026-62042MEDIUMWordPress Scripts n Styles plugin <= 3.5.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66085MEDIUMWordPress Arconix Shortcodes plugin <= 2.1.18 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109703MEDIUMWordPress WPGraphQL plugin <= 2.23.1 - Sensitive Data Exposure vulnerabilityEPSS 0.2%CVE-2026-103341MEDIUMWordPress Unlimited Elements For Elementor (Free Widgets, Addons, Templates) plugin <= 2.0.20 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64265MEDIUMWordPress Frontend File Manager plugin <= 23.2 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2022-36836MEDIUMUnprotected provider vulnerability in Charm by Samsung prior to version 1.2.3 allows attackers to read connection state without permission.EPSS 0.2%CVE-2026-84027MEDIUMDirectorist 8.9.1 - 8.9.4 - Subscriber+ Paid Order and Payment Record Forgery via REST Orders EndpointEPSS 0.2%CVE-2026-79618MEDIUMWP User Frontend < 4.3.12 - Subscriber+ Post Creation via Subscription-Gated FormEPSS 0.2%CVE-2026-11821MEDIUMEventin <= 4.1.17 - Missing Authorization to Authenticated (Subscriber+) Notification Flow Management via notification-flow REST API EndpointEPSS 0.2%CVE-2026-84252CRITICALclick5 CRM add-on to WPForms <= 1.0.3 - Unauthenticated Arbitrary Options UpdateEPSS 0.2%CVE-2026-108475MEDIUMWordPress Broadcast Live Video plugin <= 7.3.6 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-107423MEDIUMWordPress WP User Manager plugin <= 2.9.22 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-97219MEDIUMMStore API 4.21.1 - 4.22.0 - Subscriber+ Payment Bypass via 'status' ParameterEPSS 0.2%CVE-2026-107869MEDIUMWordPress Flexible Subscriptions plugin <= 1.8.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-84253CRITICALclick5 CRM add-on to Gravity Forms <= 1.0.3 - Unauthenticated Arbitrary Options UpdateEPSS 0.2%CVE-2026-103685MEDIUMWordPress ALD – Dropshipping and Fulfillment for AliExpress and WooCommerce plugin <= 2.2.4 - Broken Access Control vulnerabilityEPSS 0.2%