Falhas do tipo CWE-862

9.295 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-0133HIGHIn smmu_attach_dev of arm-smmu-v3.c, there is a possible way to sign malicious Android Runtime bootclass artifacts due to a missing permissiEPSS 0.1%CVE-2026-0057LOWIn Contacts Provider, there is a possible way to access an incoming call's phone number and associated metadata due to a missing permission EPSS 0.1%CVE-2026-0054LOWIn isCallerAllowed of WalletContextualLocationsService.kt, there is a possible way to get wallet information due to a missing permission cheEPSS 0.1%CVE-2026-25267HIGHMissing Authorization in CoreEPSS 0.1%CVE-2026-97712HIGHNexus Repository 3 - Privilege Escalation via Role ManagementEPSS —CVE-2026-110360MEDIUMWordPress Ajax Search Lite plugin <= 4.14.5 - Broken Access Control vulnerabilityEPSS —CVE-2026-46691MEDIUMEspoCRM: IDOR in Import exportErrors Endpoint Leaks CSV Data of Other UsersEPSS —CVE-2026-109897MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —CVE-2026-111353MEDIUMPeppermint through 0.5.5 Missing Authorization via Time-Tracking and Attachment Upload EndpointsEPSS —CVE-2026-111350LOWPapermark through 0.22.0 Missing Authorization in Data Room Viewer Group APIEPSS —CVE-2026-97665HIGHNexus Repository 3 - Missing Authorization on NuGet Symbol Package UploadEPSS —CVE-2026-110362MEDIUMWordPress PlanetStudio Payment Gateway plugin <= 1.3.3 - Broken Access Control vulnerabilityEPSS —CVE-2026-46694MEDIUMEspoCRM: Portal User ACL Bypass Exposes Internal Stream NotesEPSS —CVE-2026-111235CRITICALOpenNMS REST authorization bypass via non-canonical HTTP methodEPSS —CVE-2026-92629HIGHA potential improper authorization vulnerability was reported in Lenovo Baiying PC Client, distributed exclusively in the Chinese market, thEPSS —CVE-2026-109812MEDIUMMissing Authorization on Secret EndpointsEPSS —CVE-2026-110371MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —CVE-2026-110364MEDIUMWordPress Flexible Quantity – Measurement Price Calculator for WooCommerce plugin <= 2.3.23 - Broken Access Control vulnerabilityEPSS —CVE-2026-96449MEDIUMWordPress WP EasyPay plugin <= 4.5.4 - Broken Access Control vulnerabilityEPSS —CVE-2026-111349MEDIUMCraftplan through 0.7.5 Missing Authorization via CRM Customer JSON:API and GraphQLEPSS —