Falhas do tipo CWE-862

9.259 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2022-20522HIGHIn getSlice of ProviderModelSlice.java, there is a missing permission check. This could lead to local escalation of privilege from the guestEPSS 0.2%CVE-2026-14460HIGHMissing Authorization in TUBITAK BILGEM's pardus-softwareEPSS 0.2%CVE-2026-7859MEDIUMMotors Car Dealership & Classified Listings < 1.4.110 - Unauthenticated Post-Meta Write via stm_ajax_add_a_car_mediaEPSS 0.2%CVE-2026-100289MEDIUMMissing authorization in the gateway network scan token API in Devolutions Server 2026.3.5.0 and earlier allows an authenticated low-privileEPSS 0.2%CVE-2026-39783MEDIUMWordPress Polylang plugin <= 3.8.7 - Sensitive Data Exposure vulnerabilityEPSS 0.2%CVE-2022-39861MEDIUMUnprotected Receiver in AtBroadcastReceiver in FactoryCamera prior to version 3.5.51 allows attackers to record video without camera privileEPSS 0.2%CVE-2026-39779MEDIUMWordPress Asgaros Forum plugin <= 3.4.0 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-109896MEDIUMWordPress Download Monitor integration for WooCommerce plugin <= 1.0.3 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-64323MEDIUMkgateway is missing xDS authorizationEPSS 0.2%CVE-2026-105062MEDIUMWordPress WP Admin Audit plugin <= 1.2.17 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-97648MEDIUMningzichun student-management-system cross-site request forgeryEPSS 0.2%CVE-2026-19081MEDIUMMissing Authorization Allows Unauthorized Access to Critical POS Functions in Gastromenum's Gastromenum Ticket and QR Menu SystemEPSS 0.2%CVE-2023-21094HIGHIn sanitize of LayerState.cpp, there is a possible way to take over the screen display and swap the display content due to a missing permissEPSS 0.2%CVE-2026-106425MEDIUMMissing authorization in BrowserTag in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer proceEPSS 0.2%CVE-2026-66109HIGHA missing authorization vulnerability exists in SKYSEA Client View and SKYMEC IT Manager. If this vulnerability is exploited, an attacker whEPSS 0.2%CVE-2026-3253MEDIUMMailerLite – Signup forms (official) <= 1.7.21 - Missing Authorization to Authenticated (Contributor+) Form Creation and DeletionEPSS 0.2%CVE-2025-8886MEDIUMAuthorization Bypass in Usta Information Systems' Aybs InteraktifEPSS 0.2%CVE-2026-100854MEDIUMAzuraCast before 0.23.6 Metadata Injection via Liquidsoap APIEPSS 0.2%CVE-2023-48684HIGHSensitive information disclosure and manipulation due to missing authorization. The following products are affected: Acronis Cyber Protect CEPSS 0.2%CVE-2026-106369MEDIUMMissing authorization in Translate in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer procesEPSS 0.2%