Weaknesses of type CWE-285

1,587 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2020-15084HIGHAuthorization bypass in express-jwtEPSS 1.1%CVE-2018-14666MEDIUMAn improper authorization flaw was found in the Smart Class feature of Foreman. An attacker can use it to change configuration of any host rEPSS 1.0%CVE-2025-30392CRITICALAzure AI Bot Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2021-21511HIGHDell EMC Avamar Server, versions 19.3 and 19.4 contain an Improper Authorization vulnerability in the web UI. A remote low privileged attackEPSS 1.0%CVE-2020-2050HIGHPAN-OS: Authentication bypass vulnerability in GlobalProtect SSL VPN client certificate verificationEPSS 1.0%CVE-2021-41564MEDIUMTad Honor - Improper AuthorizationEPSS 1.0%CVE-2021-41976MEDIUMTad Uploader - Improper AuthorizationEPSS 1.0%CVE-2022-1224MEDIUMImproper Authorization in phpipam/phpipamEPSS 1.0%CVE-2026-27823HIGHRemote Code Execution Vulnerability in EGroupwareEPSS 1.0%CVE-2021-41568MEDIUMTad Web - Improper AuthorizationEPSS 1.0%CVE-2019-3849MEDIUMA vulnerability was found in moodle before versions 3.6.3, 3.5.5 and 3.4.8. Users could assign themselves an escalated role within courses oEPSS 1.0%CVE-2023-33142MEDIUMMicrosoft SharePoint Server Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2019-12635MEDIUMCisco Content Security Management Appliance Information Disclosure VulnerabilityEPSS 1.0%CVE-2020-6311MEDIUMBanking services from SAP 9.0 (Bank Analyzer), version - 500, and SAP S/4HANA for financial products subledger, version � 100, does not corrEPSS 1.0%CVE-2022-0587HIGHImproper Authorization in librenms/librenmsEPSS 1.0%CVE-2024-2557MEDIUMkishor-23 Food Waste Management System admin.php improper authorizationEPSS 1.0%CVE-2026-48579CRITICALMicrosoft Exchange Online Information Disclosure VulnerabilityEPSS 1.0%CVE-2021-41308—Affected versions of Atlassian Jira Server and Data Center allow authenticated yet non-administrator remote attackers to edit the File RepliEPSS 1.0%CVE-2022-29233MEDIUMImproper access control for breakout rooms in BigBlue ButtonEPSS 1.0%CVE-2021-22863—Improper access control in GitHub Enterprise Server leading to unauthorized changes to maintainer permissions on pull requestsEPSS 1.0%