Falhas do tipo CWE-862

9.252 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-84253CRITICALclick5 CRM add-on to Gravity Forms <= 1.0.3 - Unauthenticated Arbitrary Options UpdateEPSS 0.2%CVE-2026-84252CRITICALclick5 CRM add-on to WPForms <= 1.0.3 - Unauthenticated Arbitrary Options UpdateEPSS 0.2%CVE-2026-84251CRITICALclick5 CRM add-on to Ninja Forms <= 1.0.1 - Unauthenticated Arbitrary Options UpdateEPSS 0.2%CVE-2026-108174MEDIUMWordPress FOX plugin <= 1.5.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-23688MEDIUMMissing Authorization check in SAP Fiori App (Manage Service Entry Sheets - Lean Services)EPSS 0.2%CVE-2026-108492MEDIUMWordPress Quick Paypal Payments plugin <= 6.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-15476MEDIUMThe Bucketlister <= 0.1.5 - Missing Authorization to Authenticated (Subscriber+) Bucket List ModificationEPSS 0.2%CVE-2026-108493MEDIUMWordPress Pay for Payment for WooCommerce plugin <= 3.0.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-78582MEDIUMMissing Authorization in Kibana Leading to Unauthorized Deletion of DataEPSS 0.2%CVE-2025-15516MEDIUMAll-in-One Video Gallery 4.1.0 - 4.6.4 - Missing Authorization to Authenticated (Subscriber+) Limited User Meta UpdateEPSS 0.2%CVE-2026-109684MEDIUMWordPress Amelia plugin <= 2.4.10 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2023-32959MEDIUMWordPress MetroStore theme <= 1.3.2 - Broken Access ControlEPSS 0.2%CVE-2024-39546HIGHJunos OS Evolved: Local low-privilege user can gain root permissions leading to privilege escalationEPSS 0.2%CVE-2026-105883HIGHWordPress Th Shop Mania theme <= 1.9.1 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2024-8042LOWRapid7 Insight Platform Unauthorized Empty Group CreationEPSS 0.2%CVE-2026-96200MEDIUMPayments for Hubtel < 1.0.2 - Unauthenticated Payment Confirmation Forgery via Delayed Payment CallbackEPSS 0.2%CVE-2025-10646MEDIUMSearch Exclude <= 2.5.7 – Missing Authorization to Authenticated (Contributor+) Search Settings Modification via REST APIEPSS 0.2%CVE-2026-89289MEDIUMFast Courier <= 5.2.3 - Unauthenticated Order Fulfillment Update via order-status-update REST EndpointEPSS 0.2%CVE-2026-87846MEDIUMShipping for Nova Poshta 1.18.7 - 1.19.8 - Unauthenticated Order Shipment Record DeletionEPSS 0.2%CVE-2026-105888MEDIUMWordPress Event Tickets plugin <= 5.30.0.1 - Broken Access Control vulnerabilityEPSS 0.2%