Falhas do tipo CWE-862

8.581 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2026-47409HIGHpraisonai-platform: Any workspace member can remove any other member (including the owner) via DELETE /workspaces/{id}/members/{user_id}EPSS 0.5%CVE-2026-92803MEDIUMLibreTranslate through 1.9.6 Missing Access Check on the download_file RouteEPSS 0.5%CVE-2025-1021HIGHMissing authorization vulnerability in synocopy in Synology DiskStation Manager (DSM) before 7.1.1-42962-8, 7.2.1-69057-7 and 7.2.2-72806-3 EPSS 0.5%CVE-2023-51355HIGHWordPress MultiVendorX plugin <= 4.0.23 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2024-12259HIGHCRM WordPress Plugin – RepairBuddy <= 3.8120 - Missing Authorization to Account Takeover/Privilege EscalationEPSS 0.5%CVE-2026-72723MEDIUMDiscourse: Anonymous sidebar serialization exposes descriptions of category-restricted tagsEPSS 0.5%CVE-2024-3599MEDIUMWP Cookie Consent ( for GDPR, CCPA & ePrivacy ) <= 3.0.2 - Missing Authorization to Unauthenticated Arbitrary Post DeletionEPSS 0.5%CVE-2026-47412HIGHpraisonai-platform: Any workspace member can delete the entire workspace via DELETE /workspaces/{id}EPSS 0.5%CVE-2026-22182HIGHwpDiscuz before 7.6.47 - Unauthenticated Email Notification Flood via wpdCheckNotificationTypeEPSS 0.5%CVE-2021-25018—PPOM for WooCommerce < 24.0 - Subscriber+ Settings Update to Stored XSSEPSS 0.5%CVE-2023-27462LOWA vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V5.3). The client query handler of the affected application fails EPSS 0.5%CVE-2021-24950—Insight Core <= 1.0 - Subscriber+ PHP Object Injection & Stored XSSEPSS 0.5%CVE-2025-23486MEDIUMWordPress Database Sync plugin <= 0.5.1 - Sensitive Data Exposure vulnerabilityEPSS 0.5%CVE-2021-25042—WP Visitor Statistics (Real Time Traffic) < 5.5 - Arbitrary IP Address Exclusion to Stored XSSEPSS 0.5%CVE-2023-24524MEDIUMSAP S/4 HANA Map Treasury Correspondence Format Data does not perform necessary authorization check for an authenticated user, resulting in EPSS 0.5%CVE-2026-45625CRITICALArcane: Missing admin authorization on git repository endpoints allows non-admin users to exfiltrate stored Git credentials and tamper with GitOps configsEPSS 0.5%CVE-2024-4520HIGHImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.5%CVE-2026-14488CRITICALMeta Box AIO <= 3.8.0 - Missing Authorization to Unauthenticated Arbitrary Post Deletion via 'rwmb_frontend_field_object_id' ParameterEPSS 0.5%CVE-2026-40601HIGHChartbrew: Missing Authorization in /api/chart/:chart_id/query via team-level refresh toggleEPSS 0.5%CVE-2026-92780HIGHKnowStreaming through 3.4.1 Missing Authorization on the REST APIEPSS 0.5%