Falhas do tipo CWE-862

9.264 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-1705HIGHMissing Authorization vulnerability in Forcepoint F|One SmartEdge Agent on Windows (bgAutoinstaller service modules) allows Privilege EscalaEPSS 0.1%CVE-2025-13734MEDIUMIBM Engineering Requirements Management DOORS Next could allow an authenticated user to access and modify data beyond authorized permissionsEPSS 0.1%CVE-2026-96283LOWFlatpak: flatpak: flatpak-system-helper cross-user cancelpull orphans another user's ongoing pullEPSS 0.1%CVE-2026-96334MEDIUMWordPress User Registration plugin <= 5.2.7 - Broken Access Control vulnerabilityEPSS 0.1%CVE-2023-32112LOWMissing Authorization Check in Vendor Master HierarchyEPSS 0.1%CVE-2026-90895HIGHMISP Interactive CLI Shell: Authorization Bypass, Credential Exposure, and Terminal InjectionEPSS 0.1%CVE-2024-20413MEDIUMCisco NX-OS Bash Privilege Escalation VulnerabilityEPSS 0.1%CVE-2026-21716LOWAn incomplete fix for CVE-2024-36137 leaves `FileHandle.chmod()` and `FileHandle.chown()` in the promises API without the required permissioEPSS 0.1%CVE-2026-0081CRITICALIn NFC, there is a possible way to spoof an NFC event due to a missing permission check. This could lead to local escalation of privilege wiEPSS 0.1%CVE-2022-39113MEDIUMIn Music service, there is a missing permission check. This could lead to local denial of service in Music service with no additional executEPSS 0.1%CVE-2022-39114MEDIUMIn Music service, there is a missing permission check. This could lead to local denial of service in Music service with no additional executEPSS 0.1%CVE-2022-39112MEDIUMIn Music service, there is a missing permission check. This could lead to local denial of service in Music service with no additional executEPSS 0.1%CVE-2026-33632HIGHClearanceKit: opfilter policy bypass via exchangedata and clone operationsEPSS 0.1%CVE-2025-8887MEDIUMIDOR in Usta Information Systems' Aybs InteraktifEPSS 0.1%CVE-2026-0246MEDIUMPrisma Access Agent: Local Privilege Escalation VulnerabilityEPSS 0.1%CVE-2026-33631HIGHClearanceKit: opfilter policy bypass via non-open file operationsEPSS 0.1%CVE-2025-30017MEDIUMMissing Authorization check in SAP Solution ManagerEPSS 0.1%CVE-2026-104386MEDIUMWordPress WP VR plugin <= 9.1.3 - Broken Access Control vulnerabilityEPSS 0.1%CVE-2026-11719HIGHAn authenticated authorization bypass vulnerability exists in MCP Toolbox for Databases due to missing scope enforcement across older protocEPSS 0.1%CVE-2026-109696MEDIUMWordPress FluentBoards plugin <= 2.1.0 - Broken Access Control vulnerabilityEPSS 0.1%