Falhas do tipo CWE-862

8.581 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2022-47176MEDIUMWordPress Depicter Slider plugin <= 1.9.0 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2024-32677MEDIUMWordPress LoginPress Pro plugin < 3.0.0 - Unauth. License Activation/Deactivation vulnerabilityEPSS 0.5%CVE-2023-5425HIGHPost Meta Data Manager <=1.2.0 - Missing Authorization to Authenticated (Subscriber+) Privilege EscalationEPSS 0.5%CVE-2026-2031CRITICALGoogle Cloud Application Integration: Exposed internal APIs allow Information Disclosure and Remote Code Execution.EPSS 0.5%CVE-2026-6964MEDIUMVideo Conferencing with Zoom <= 4.6.7 - Missing Authorization to Unauthenticated Zoom SDK Credential Exposure via 'get_auth' AJAX ActionEPSS 0.5%CVE-2021-42367MEDIUMVariation Swatches for WooCommerce <= 2.1.1 Authenticated Stored Cross-Site ScriptingEPSS 0.5%CVE-2023-5533MEDIUMAI ChatBot <= 4.8.9 and 4.9.2 - Missing Authorization on AJAX actionsEPSS 0.5%CVE-2026-11807CRITICALEda-server: websocket missing authorization allows credential theft via activation_id spoofingEPSS 0.5%CVE-2026-83621HIGHntopng: Missing Authorization Check in REST API Allows Non-Admin Users to Tamper Threat Intelligence Blacklist URLsEPSS 0.5%CVE-2026-18347MEDIUMKirki <= 6.1.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'context' ParameterEPSS 0.5%CVE-2026-44326CRITICALfree5GC: NEF 3gpp-traffic-influence API is unauthenticated; missing or forged bearer tokens can create, read, patch, and delete subscriptionsEPSS 0.5%CVE-2024-1127MEDIUMEventPrime – Events Calendar, Bookings and Tickets <= 3.4.1 - Missing Authorization to Authenticated (Subscriber+) Event ExportEPSS 0.5%CVE-2026-44327CRITICALfree5GC: NEF nnef-oam route group is unauthenticated; no-token requests reach the OAM handlerEPSS 0.5%CVE-2026-44125CRITICALMissing Authorization in GINAv2EPSS 0.5%CVE-2026-44315CRITICALfree5GC: NEF 3gpp-pfd-management API is unauthenticated; forged bearer tokens can create, read, and delete PFD transactionsEPSS 0.5%CVE-2023-4938MEDIUMBEAR <= 1.1.3.3 - Missing Authorization to Product ManipulationEPSS 0.5%CVE-2026-14341MEDIUMMissing Authorization in GitLabEPSS 0.5%CVE-2024-3610MEDIUMWP Child Theme Generator <= 1.1.1 - Missing Authorization to Unauthenticated Child Theme Creation/ActivationEPSS 0.5%CVE-2022-4948MEDIUMFlyingPress <= 3.9.6 - Missing AuthorizationEPSS 0.5%CVE-2025-53825CRITICALDokploy's Preview Deployments are vulnerable to Remote Code ExecutionEPSS 0.5%