Falhas do tipo CWE-862

8.581 resultados

Falha de verificação de autorização

A aplicação não valida se o usuário tem permissão para acessar um recurso ou executar uma ação específica. O código presume que quem chegou até ali já é confiável, pulando a checagem de privilégios. Qualquer atacante que consiga se autenticar (ou nem isso) pode fazer operações que deveria estar proibido.

Exemplo

Um admin painel que verifica login, mas depois deixa qualquer usuário logado deletar outros perfis acessando /admin/delete-user/123 diretamente. A autenticação existe, a autorização não.

Como mitigar

Implemente verificações de autorização (ACL, RBAC ou atributo-based) antes de cada operação sensível: confirme se o usuário tem a role ou permissão necessária. Não confie em autenticação alone — é login que prova quem você é, autorização que prova o que você pode fazer.

CVE-2023-27304—Operation restriction bypass vulnerability in Message and Bulletin of Cybozu Garoon 4.6.0 to 5.9.2 allows a remote authenticated attacker toEPSS 0.5%CVE-2023-2084MEDIUMEssential Blocks <= 4.0.6 - Missing Authorization via getEPSS 0.5%CVE-2026-15293HIGHWP Business Intelligence Lite <= 3.2.0 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via Arbitrary SQL ModificationEPSS 0.5%CVE-2025-27296HIGHWordPress Auto Ad Inserter – Increase Google Adsense and Ad Manager Revenue Plugin <= 1.5 - Settings Change vulnerabilityEPSS 0.5%CVE-2026-32270LOWCraft Commerce: Unauthenticated information disclosure in `commerce/payments/pay` can leak some customer order data on anonymous paymentsEPSS 0.5%CVE-2023-48273MEDIUMWordPress Preloader for Website plugin <= 1.2.2 - Unauthenticated Broken Access Control vulnerabilityEPSS 0.5%CVE-2022-2450MEDIUMreSmush.it Image Optimizer < 0.4.4 - Subscriber+ AJAX CallsEPSS 0.5%CVE-2026-79665HIGHEch0 before 4.5.1 Authorization Bypass via Session TokensEPSS 0.5%CVE-2023-33995MEDIUMWordPress Photo Gallery by 10Web plugin <= 1.8.15 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2026-71252HIGHtoner-management - Unauthenticated State-Changing Admin ActionsEPSS 0.5%CVE-2023-25766MEDIUMA missing permission check in Jenkins Azure Credentials Plugin 253.v887e0f9e898b and earlier allows attackers with Overall/Read permission tEPSS 0.5%CVE-2026-49367HIGHIn JetBrains IntelliJ IDEA before 2026.1.1 command execution was possible via the guest user accountEPSS 0.5%CVE-2026-58473CRITICALCognee < 1.2.0 Unauthorized LLM Configuration Overwrite via /api/v1/settingsEPSS 0.5%CVE-2023-49818MEDIUMWordPress Webflow Pages plugin <= 1.0.8 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2023-33928MEDIUMWordPress WordPress Backup & Migration plugin <= 1.4.0 - Broken Access Control vulnerabilityEPSS 0.5%CVE-2026-89054HIGHOpenNMS missing authorization on /api/v2 PATCH endpoints allows unauthenticated configuration changesEPSS 0.5%CVE-2024-1177MEDIUMWP Club Manager – WordPress Sports Club Plugin <= 2.2.10 - Missing Authorization to Unauthenticated Event Permalink UpdateEPSS 0.5%CVE-2026-8934MEDIUMCross-Project Information Leakage in Google App Engine UIEPSS 0.5%CVE-2026-77128MEDIUMBroken Access Control in extension "Event management and registration" (sf_event_mgt)EPSS 0.5%CVE-2026-7051MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.9.0 - Missing Authorization to Authenticated (Subscriber+) Delete Arbitrary B2S Post Records via 'postId' ParameterEPSS 0.5%