Weaknesses of type CWE-285

1,588 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2019-3641MEDIUMExploitation of Authorization in TIE ServerEPSS 0.7%CVE-2025-24053HIGHMicrosoft Dataverse Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2024-56320CRITICALGoCD vulnerable to admin privilege escalation by a malicious internal/existing authenticated userEPSS 0.7%CVE-2025-2345CRITICALIROAD Dash Cam X5/Dash Cam X6 improper authorizationEPSS 0.7%CVE-2022-4688HIGHImproper Authorization in usememos/memosEPSS 0.7%CVE-2022-0821HIGHImproper Authorization in orchardcms/orchardcoreEPSS 0.7%CVE-2024-47053HIGHImproper Authorization in Reporting APIEPSS 0.7%CVE-2025-59100MEDIUMUnauthenticated Access to the SQLite Database in dormakaba access managerEPSS 0.7%CVE-2026-62835CRITICALAzure Portal Information Disclosure VulnerabilityEPSS 0.7%CVE-2024-30260LOWUndici's Proxy-Authorization header not cleared on cross-origin redirect for dispatch, request, stream, pipelineEPSS 0.7%CVE-2025-4631CRITICALProfitori 2.0.6.0 - 2.1.1.3 - Missing Authorization to Unauthenticated Privilege Escalation via stocktend_object EndpointEPSS 0.7%CVE-2025-5511MEDIUMquequnlong shiyi-blog photos improper authorizationEPSS 0.7%CVE-2025-49746CRITICALAzure Machine Learning Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2020-9061—Z-Wave devices using Silicon Labs 500 and 700 series chipsets, including but not likely limited to the SiLabs UZB-7 version 7.00, ZooZ ZST10EPSS 0.7%CVE-2015-10033LOWjvvlee MerlinsBoard Grade improper authorizationEPSS 0.7%CVE-2022-39340MEDIUMOpenFGA Information DisclosureEPSS 0.7%CVE-2024-21166MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.36 and prior anEPSS 0.7%CVE-2017-0895—Nextcloud Server before 10.0.4 and 11.0.2 are vulnerable to disclosure of calendar and addressbook names to other logged-in users. Note thatEPSS 0.7%CVE-2022-33712—Intent redirection vulnerability using implict intent in Camera prior to versions 12.0.01.64 ,12.0.3.23, 12.0.0.98, 12.0.6.11, 12.0.3.19 in EPSS 0.7%CVE-2024-12782MEDIUMFujifilm Business Innovation Apeos C3070/Apeos C5570/Apeos C6580 Web Interface index.html#hashHome improper authorizationEPSS 0.7%