Falhas do tipo CWE-862

8.581 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-40376MEDIUMIBM UrbanCode Deploy (UCD) improper authentication controlsEPSS 0.5%CVE-2026-94412HIGHjshERP through 3.6 Authorization Bypass via resetPwdEPSS 0.5%CVE-2024-1079MEDIUMQuiz Maker <= 6.5.2.4 - Missing Authorization to Unauthenticated Quiz Data RetrievalEPSS 0.5%CVE-2023-1333MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'clear_page_cache'EPSS 0.5%CVE-2023-1335MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'ucss_connect'EPSS 0.5%CVE-2023-1338MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'attach_rule'EPSS 0.5%CVE-2026-70494HIGHOpen WebUI: A folder write-collaborator can permanently delete the owner's chats by deleting a shared subfolderEPSS 0.5%CVE-2026-18571MEDIUMKeycloak-services: keycloak-services: fgap v2 group assignment bypass during user creationEPSS 0.5%CVE-2023-1336MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'ajax_deactivate'EPSS 0.5%CVE-2023-4606HIGHAn authenticated XCC user with Read-Only permission can change a different user’s password through a crafted API command.   This affects ThEPSS 0.5%CVE-2023-1334MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'queue_posts'EPSS 0.5%CVE-2023-1339MEDIUMRapidLoad Power-Up for Autoptimize <= 1.7.1 - Missing Authorization in 'uucss_update_rule'EPSS 0.5%CVE-2026-4650MEDIUMFundPress <= 2.0.8 - Missing Authorization to Unauthenticated Arbitrary Donation Status Modification via donate_action_status AJAX HandlerEPSS 0.5%CVE-2026-85605MEDIUMSlink before 1.12.3 Missing Authorization on Image Comment EndpointsEPSS 0.5%CVE-2023-51515HIGHWordPress Uncode Core plugin <= 2.8.8 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-37119MEDIUMWordPress Uncanny Automator Pro plugin < 5.3.0.1 - Unauthenticated License Settings Reset vulnerabilityEPSS 0.5%CVE-2023-2078HIGHBuy Me a Coffee – Button and Widget Plugin <= 3.7 - Missing AuthorizationEPSS 0.5%CVE-2025-13313CRITICALCRM Memberships <= 2.6 - Missing Authorization to Privilege Escalation via Unauthenticated Password Reset in 'ntzcrm_changepassword' AJAX EndpointEPSS 0.5%CVE-2024-37444MEDIUMWordPress Defender plugin <= 4.7.1 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2026-16215MEDIUMgeex-arts django-jet OAuth Credential Revoke authorizationEPSS 0.5%