Falhas do tipo CWE-862

9.257 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-66087MEDIUMWordPress PropertyHive plugin <= 2.1.12 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-66106MEDIUMWordPress Featured Post Creative plugin <= 1.5.5 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-62179MEDIUMPraisonAI: Platform members can delete owner issue dependencies through member-owned related issuesEPSS 0.2%CVE-2025-48600MEDIUMIn multiple files, there is a possible way to reveal information across users due to a missing permission check. This could lead to local inEPSS 0.2%CVE-2026-9255HIGHTool Execution Without Authorization via Piped Stdin in Kiro CLIEPSS 0.2%CVE-2026-64676MEDIUMKata Containers: Unauthorized mem-agent ttRPC methods let an untrusted host tamper with confidential-guest memoryEPSS 0.2%CVE-2025-67597MEDIUMWordPress Fluent Booking plugin <= 1.9.11 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-96446MEDIUMKeycloak-services: keycloak-services: par single-use bypass via prompt=none silent authentication pathEPSS 0.2%CVE-2022-20504MEDIUMIn multiple locations of DreamManagerService.java, there is a missing permission check. This could lead to local escalation of privilege andEPSS 0.2%CVE-2025-66084MEDIUMWordPress FluentCommunity plugin <= 2.0.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-4806MEDIUMCustom Thank You Page for WooCommerce <= 1.1.2 - Missing Authorization to Unauthenticated Settings Export and Settings ResetEPSS 0.2%CVE-2025-52766MEDIUMWordPress Printeers Print & Ship plugin <= 1.17.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-32582MEDIUMWordPress IATO MCP plugin <= 1.12.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-87981MEDIUMPaymob for WooCommerce < 4.1.14 - Contributor+ Payment Gateway Configuration Deletion and Modification via Multiple AJAX ActionsEPSS 0.2%CVE-2026-109654MEDIUMFrappe ERPNext before 15.119.0 Missing Authorization in Transactional Email EndpointsEPSS 0.2%CVE-2026-96337MEDIUMWordPress ProfilePress plugin <= 4.17.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-28587CRITICALIn MmsSmsProvider of MmsSmsProvider.java, there is a possible way to retrieve sensitive information due to a missing permission check. This EPSS 0.2%CVE-2026-109623MEDIUMFrappe ERPNext before 15.121.1 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-14311MEDIUMBooking for Appointments and Events Calendar – Amelia (Premium) <= 2.4.4 - Authenticated (Custom+) Missing Authorization to Limited Account TakeoverEPSS 0.2%CVE-2026-16930HIGHPower System Missing AuthorizationEPSS 0.2%