Falhas do tipo CWE-862

9.256 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-48600MEDIUMIn multiple files, there is a possible way to reveal information across users due to a missing permission check. This could lead to local inEPSS 0.2%CVE-2025-66087MEDIUMWordPress PropertyHive plugin <= 2.1.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-64676MEDIUMKata Containers: Unauthorized mem-agent ttRPC methods let an untrusted host tamper with confidential-guest memoryEPSS 0.2%CVE-2025-64210MEDIUMWordPress Masterstudy Elementor Widgets plugin <= 1.2.4 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66106MEDIUMWordPress Featured Post Creative plugin <= 1.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-28573CRITICALIn AndroidManifest.xml, there is a possible persistent denial of service due to a missing permission check. This could lead to local denial EPSS 0.2%CVE-2022-20504MEDIUMIn multiple locations of DreamManagerService.java, there is a missing permission check. This could lead to local escalation of privilege andEPSS 0.2%CVE-2026-32585MEDIUMWordPress Airano MCP Bridge plugin <= 2.11.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109654MEDIUMFrappe ERPNext before 15.119.0 Missing Authorization in Transactional Email EndpointsEPSS 0.2%CVE-2026-16930HIGHPower System Missing AuthorizationEPSS 0.2%CVE-2026-109623MEDIUMFrappe ERPNext before 15.121.1 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-4806MEDIUMCustom Thank You Page for WooCommerce <= 1.1.2 - Missing Authorization to Unauthenticated Settings Export and Settings ResetEPSS 0.2%CVE-2026-96337MEDIUMWordPress ProfilePress plugin <= 4.17.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-28587CRITICALIn MmsSmsProvider of MmsSmsProvider.java, there is a possible way to retrieve sensitive information due to a missing permission check. This EPSS 0.2%CVE-2025-58981MEDIUMWordPress Accessibility Checker by Equalize Digital Plugin <= 1.31.0 - Broken Access Control VulnerabilityEPSS 0.2%CVE-2025-52766MEDIUMWordPress Printeers Print & Ship plugin <= 1.17.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-87981MEDIUMPaymob for WooCommerce < 4.1.14 - Contributor+ Payment Gateway Configuration Deletion and Modification via Multiple AJAX ActionsEPSS 0.2%CVE-2026-14311MEDIUMBooking for Appointments and Events Calendar – Amelia (Premium) <= 2.4.4 - Authenticated (Custom+) Missing Authorization to Limited Account TakeoverEPSS 0.2%CVE-2026-32582MEDIUMWordPress IATO MCP plugin <= 1.12.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-59544MEDIUMChamilo: Unauthorized access to update category of any userEPSS 0.2%