Weaknesses of type CWE-285

1,726 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2020-26246HIGHAuthorization bypass in PimcoreEPSS 0.8%CVE-2020-3267MEDIUMCisco Unified Contact Center Express Improper API Authorization VulnerabilityEPSS 0.8%CVE-2018-12466MEDIUMopenbuildservice allowed deleting packages via project linksEPSS 0.8%CVE-2025-5511MEDIUMquequnlong shiyi-blog photos improper authorizationEPSS 0.8%CVE-2023-38220HIGHFull page cache enumeration via cookie X-Magento-VaryEPSS 0.8%CVE-2020-16096CRITICALIn Gallagher Command Centre versions 8.10 prior to 8.10.1134(MR4), 8.00 prior to 8.00.1161(MR5), 7.90 prior to 7.90.991(MR5), 7.80 prior to EPSS 0.8%CVE-2024-32881CRITICALUnauthorized access to GET/SET of Slack Bot Tokens in DanswerEPSS 0.8%CVE-2021-38486HIGHInHand Networks IR615 RouterEPSS 0.8%CVE-2026-34048CRITICALCoolify: Missing authorization on terminal websocket bootstrap routes allows low-privileged members to execute commands on team serversEPSS 0.8%CVE-2023-20088MEDIUMCisco Finesse Reverse Proxy VPN-less Access to Finesse Desktop Denial of Service VulnerabilityEPSS 0.8%CVE-2023-42491HIGHEisBaer Scada - CWE-285: Improper AuthorizationEPSS 0.8%CVE-2020-5333MEDIUMRSA Archer, versions prior to 6.7 P3 (6.7.0.3), contain an authorization bypass vulnerability in the REST API. A remote authenticated maliciEPSS 0.8%CVE-2022-34446HIGH PowerPath Management Appliance with versions 3.3 & 3.2* contains Authorization Bypass vulnerability. An authenticated remote user with limiEPSS 0.8%CVE-2023-2496HIGHGo Pricing - WordPress Responsive Pricing Tables <= 3.3.19 - Improper Authorization to Arbitrary File UploadEPSS 0.8%CVE-2026-28865HIGHAn authentication issue was addressed with improved state management. This issue is fixed in iOS 18.7.7 and iPadOS 18.7.7, iOS 26.4 and iPadEPSS 0.8%CVE-2017-0927—Gitlab Community Edition version 10.3 is vulnerable to an improper authorization issue in the deployment keys component resulting in unauthoEPSS 0.8%CVE-2022-4688HIGHImproper Authorization in usememos/memosEPSS 0.8%CVE-2024-34104HIGHAdobe Commerce | Improper Authorization (CWE-285)EPSS 0.8%CVE-2026-56160CRITICALAzure Red Hat OpenShift (ARO) Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2022-47553HIGHImproper Authorization in Ormazabal productsEPSS 0.8%