Falhas do tipo CWE-862

9.257 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-32582MEDIUMWordPress IATO MCP plugin <= 1.12.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-16930HIGHPower System Missing AuthorizationEPSS 0.2%CVE-2026-107158MEDIUMLTL Freight Quotes – Old Dominion Edition < 4.2.19 - Unauthenticated FreightDesk Integration Option Update via REST RouteEPSS 0.2%CVE-2026-106646MEDIUMClassified Listing < 6.1.1 - Subscriber+ Unattached Media Deletion and Modification via Gallery AJAX HandlersEPSS 0.2%CVE-2025-59544MEDIUMChamilo: Unauthorized access to update category of any userEPSS 0.2%CVE-2026-2463MEDIUMUnauthorized access to invite ID during team creationEPSS 0.2%CVE-2026-56742MEDIUMCilium: Namespaced HTTPRoutes can redirect traffic to other namespacesEPSS 0.2%CVE-2026-20483HIGHIn Telephony, there is a possible escalation of privilege due to a missing permission check. This could lead to local escalation of privilegEPSS 0.2%CVE-2025-41231HIGHVMware Cloud Foundation Missing Authorisation VulnerabilityEPSS 0.2%CVE-2022-20529LOWIn multiple locations of WifiDialogActivity.java, there is a possible limited lockscreen bypass due to a logic error in the code. This couldEPSS 0.2%CVE-2026-100280LOWIn JetBrains YouTrack before 2026.2.19197 creating a project from an unreadable custom template was possibleEPSS 0.2%CVE-2026-82746MEDIUMAsh.update_many/4 atomic path skips resource policy authorization, allowing updates to forbidden recordsEPSS 0.2%CVE-2026-108871MEDIUMJeecgBoot through 3.9.5 Missing Authorization via POST /sys/sysDepartRole/dataruleEPSS 0.2%CVE-2024-32589HIGHWordPress Barcode Scanner and Inventory manager plugin <= 1.5.3 - Broken Access Control to XSS vulnerabilityEPSS 0.2%CVE-2025-66105MEDIUMWordPress Bus Ticket Booking with Seat Reservation plugin < 5.6.8 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-52954HIGHJunos OS Evolved: A low-privileged user can execute arbitrary Junos commands and modify the configuration, thereby compromising the systemEPSS 0.2%CVE-2026-108703MEDIUMCordysCRM through 1.9.3 Missing Authorization via /approval-resource/pushEPSS 0.2%CVE-2026-108870MEDIUMJeecgBoot through 3.9.5 Missing Authorization via POST /sys/role/dataruleEPSS 0.2%CVE-2026-1217MEDIUMYoast Duplicate Post <= 4.5 - Authenticated (Contributor+) Missing Authorization to Arbitrary Post Duplication and OverwriteEPSS 0.2%CVE-2025-7047MEDIUMMissing Authorization in Utarit Informatics' SoliClubEPSS 0.2%