Falhas do tipo CWE-862

8.528 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-1026MEDIUMWP Meta SEO <= 4.5.3 - Missing Authorization in 'listPostsCategory'EPSS 0.6%CVE-2026-50622HIGHApache Atlas: Missing Authorization on Admin EndpointsEPSS 0.6%CVE-2023-0684MEDIUMWicked Folders <= 2.18.16 - Missing Authorization via ajax_unassign_foldersEPSS 0.6%CVE-2023-0717MEDIUMWicked Folders <= 2.18.16 - Missing Authorization via ajax_delete_folderEPSS 0.6%CVE-2023-0711MEDIUMWicked Folders <= 2.18.16 - Missing Authorization via ajax_save_stateEPSS 0.6%CVE-2023-0720MEDIUMWicked Folders <= 2.18.16 - Missing Authorization on ajax_save_folder_orderEPSS 0.6%CVE-2026-82394MEDIUMSulu: Fix authorization bypass when creating preview linksEPSS 0.6%CVE-2023-0713MEDIUMWicked Folders <= 2.18.16 - Missing Authorization on ajax_add_folderEPSS 0.6%CVE-2024-1995MEDIUMSmart Custom Fields <= 4.2.2 - Missing Authorization to Authenticated (Subscriber+) Post Content DisclosureEPSS 0.6%CVE-2026-42809CRITICALApache Polaris: staged table creation could vend storage credentials for unvalidated locationsEPSS 0.6%CVE-2022-36912MEDIUMA missing permission check in Jenkins Openstack Heat Plugin 1.5 and earlier allows attackers with Overall/Read permission to connect to an aEPSS 0.6%CVE-2025-1682HIGHCardealer <= 1.6.4 - Arbitrary Theme Option Update to Authenticated (Subscriber+) Privilege EscalationEPSS 0.6%CVE-2026-81335HIGHBaserow before 2.3.1 Unauthenticated Data Disclosure via Discarded Permission Check on Builder Data SourcesEPSS 0.6%CVE-2021-24779—WP Debugging < 2.11.0 - Unauthenticated Plugin's Settings UpdateEPSS 0.6%CVE-2024-48645HIGHIn Minecraft mod "Command Block IDE" up to and including version 0.4.9, a missing authorization (CWE-862) allows any user to modify "functioEPSS 0.6%CVE-2025-26371HIGHA CWE-862 "Missing Authorization" in maxprofile/user-groups/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authEPSS 0.6%CVE-2025-26378HIGHA CWE-862 "Missing Authorization" in maxprofile/users/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authenticaEPSS 0.6%CVE-2025-26369HIGHA CWE-862 "Missing Authorization" in maxprofile/user-groups/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authEPSS 0.6%CVE-2025-26375HIGHA CWE-862 "Missing Authorization" in maxprofile/users/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authenticaEPSS 0.6%CVE-2024-3312MEDIUMEasy Custom Auto Excerpt <= 2.4.12 - Sensitive Information ExposureEPSS 0.6%