Falhas do tipo CWE-862

9.300 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-110019MEDIUMBulk Page Generator <= 3.1.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Page Creation/Modification/Deletion via 'authorize' Parameter / Suite OAuth FlowEPSS —CVE-2026-111235CRITICALOpenNMS REST authorization bypass via non-canonical HTTP methodEPSS —CVE-2026-110364MEDIUMWordPress Flexible Quantity – Measurement Price Calculator for WooCommerce plugin <= 2.3.23 - Broken Access Control vulnerabilityEPSS —CVE-2026-111353MEDIUMPeppermint through 0.5.5 Missing Authorization via Time-Tracking and Attachment Upload EndpointsEPSS —CVE-2026-110371MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —CVE-2026-107659HIGHModula Image Gallery <= 3.0.11 - Missing Authorization to Unauthenticated Sensitive Information Exposure via Exposed 'modulaSettings' REST field on the modula-gallery CPTEPSS —CVE-2026-110378MEDIUMWordPress Ninja Forms Signature Contract Add-On plugin <= 3.2.5 - Broken Access Control vulnerabilityEPSS —CVE-2026-110374MEDIUMWordPress Login with phone number plugin <= 1.8.77 - Broken Access Control vulnerabilityEPSS —CVE-2026-46694MEDIUMEspoCRM: Portal User ACL Bypass Exposes Internal Stream NotesEPSS —CVE-2026-109692HIGHWordPress User Registration plugin <= 5.2.8 - Broken Access Control vulnerabilityEPSS —CVE-2026-111349MEDIUMCraftplan through 0.7.5 Missing Authorization via CRM Customer JSON:API and GraphQLEPSS —CVE-2026-46691MEDIUMEspoCRM: IDOR in Import exportErrors Endpoint Leaks CSV Data of Other UsersEPSS —CVE-2026-108499MEDIUMWordPress Knowledge Base plugin <= 3.2.0 - Broken Access Control vulnerabilityEPSS —CVE-2026-111350LOWPapermark through 0.22.0 Missing Authorization in Data Room Viewer Group APIEPSS —CVE-2026-110367MEDIUMWordPress APIExperts Square for WooCommerce plugin <= 4.7.5 - Broken Access Control vulnerabilityEPSS —CVE-2026-55414MEDIUMNL Portal Backend Libraries: Unauthenticated form resolver forwards the privileged Objecten-API token to a caller-supplied URL (SSRF)EPSS —CVE-2026-111343MEDIUMpig through 4.1.1 Missing Authorization via GET /admin/user/details/{id}EPSS —CVE-2026-111277HIGHNivoCart through 2.5.1 Guest Order Invoice Disclosure via account/order/downloadEPSS —CVE-2026-92629HIGHA potential improper authorization vulnerability was reported in Lenovo Baiying PC Client, distributed exclusively in the Chinese market, thEPSS —CVE-2026-109897MEDIUMWordPress Strong Testimonials plugin <= 3.3.12 - Broken Access Control vulnerabilityEPSS —