Falhas do tipo CWE-862

8.451 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2025-1307CRITICALNewscrunch <= 1.8.4 - Authenticated (Subscriber+) Arbitrary File UploadEPSS 2.2%CVE-2024-10586CRITICALDebug Tool <= 2.2 - Unauthenticated Arbitrary File CreationEPSS 2.1%CVE-2024-9161MEDIUMRank Math SEO – AI SEO Tools to Dominate SEO Rankings <= 1.0.228 - Missing Authorization to Unauthenticated User and Term Metadata Insert, Update, and DeleteEPSS 2.1%CVE-2026-10768CRITICALLocalGov Workflows - Moderately critical - Information disclosure - SA-CONTRIB-2026-039EPSS 2.1%CVE-2022-4939CRITICALWCFM Membership <= 2.10.0 - Unauthenticated Privilege EscalationEPSS 2.1%CVE-2025-40602MEDIUMA local privilege escalation vulnerability due to insufficient authorization in the SonicWall SMA1000 appliance management console (AMC).EPSS 2.1%KEVCVE-2025-5701HIGHHyperComments <= 1.2.2 - Unauthenticated (Subscriber+) Arbitrary Options UpdateEPSS 2.1%CVE-2026-34976CRITICALDgraph Affected by Pre-Auth Database Overwrite + SSRF + File Read via restoreTenant Missing AuthorizationEPSS 2.0%CVE-2023-0291HIGHQuiz And Survey Master <= 8.0.8 - Unauthenticated Arbitrary Media DeletionEPSS 2.0%CVE-2020-5368CRITICALDell EMC VxRail versions 4.7.410 and 4.7.411 contain an improper authentication vulnerability. A remote unauthenticated attacker may exploitEPSS 2.0%CVE-2024-50417MEDIUMWordPress Bold Page Builder plugin <= 5.1.3 - Broken Access Control vulnerabilityEPSS 1.9%CVE-2022-29176CRITICALUnauthorized gem takeover for some gems on rubygems.orgEPSS 1.9%CVE-2022-2373—Simply Schedule Appointments < 1.5.7.7 - Unauthenticated Email Address DisclosureEPSS 1.9%CVE-2021-4368CRITICALFrontend File Manager <= 18.2 - Authenticated Settings Change leading to Arbitrary File UploadEPSS 1.9%CVE-2022-2376—Directorist < 7.3.1 - Unauthenticated Email Address DisclosureEPSS 1.8%CVE-2019-3879MEDIUMIt was discovered that in the ovirt's REST API before version 4.3.2.1, RemoveDiskCommand is triggered as an internal command, meaning the peEPSS 1.8%CVE-2024-12365HIGHW3 Total Cache <= 2.8.1 - Authenticated (Subscriber+) Missing Authorization to Server-Side Request ForgeryEPSS 1.8%CVE-2021-27857HIGHFatPipe software allows unauthenticated configuration downloadEPSS 1.8%CVE-2026-24421MEDIUMphpMyFAQ missing authorization exposes /api/setup/backup to any authenticated userEPSS 1.8%CVE-2024-47308MEDIUMWordPress Templately plugin <= 3.1.2 - Broken Access Control vulnerabilityEPSS 1.7%