Weaknesses of type CWE-285

1,588 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2020-10736HIGHAn authorization bypass vulnerability was found in Ceph versions 15.2.0 before 15.2.2, where the ceph-mon and ceph-mgr daemons do not properEPSS 0.6%CVE-2018-12467MEDIUMdelete package via link exploit in open buildserviceEPSS 0.6%CVE-2021-42331MEDIUMShinHer Information Co., LTD. ShinHer StudyOnline System - Improper Authorization-2EPSS 0.6%CVE-2022-4868MEDIUMImproper Authorization in froxlor/froxlorEPSS 0.6%CVE-2023-0456HIGHApicast proxies the api call with incorrect jwt token to the api backend without proper authorization checkEPSS 0.6%CVE-2023-42491HIGHEisBaer Scada - CWE-285: Improper AuthorizationEPSS 0.6%CVE-2025-63218CRITICALThe Axel Technology WOLF1MS and WOLF2MS devices (firmware versions 0.8.5 to 1.0.3) are vulnerable to Broken Access Control due to missing auEPSS 0.6%CVE-2023-0609MEDIUMImproper Authorization in wallabag/wallabagEPSS 0.6%CVE-2023-47166HIGHA firmware update vulnerability exists in the luci2-io file-import functionality of Milesight UR32L v32.3.0.7-r2. A specially crafted networEPSS 0.6%CVE-2021-43939HIGHElcomplus SmartPtt Improper AuthorizationEPSS 0.6%CVE-2023-48252HIGHThe vulnerability allows an authenticated remote attacker to perform actions exceeding their authorized access via crafted HTTP requests.EPSS 0.6%CVE-2023-0822HIGHImproper AuthorizationEPSS 0.6%CVE-2023-36826HIGHSentry vulnerable to improper authorization on debug and artifact file downloadsEPSS 0.6%CVE-2024-36108CRITICALMultiple Broken Function-Level Authorization vulnerabilities in casgateEPSS 0.6%CVE-2025-3199MEDIUMageerle ruoyi-ai API Interface SysModelController.java improper authorizationEPSS 0.6%CVE-2019-14828—A vulnerability was found in Moodle affecting 3.7 to 3.7.1, 3.6 to 3.6.5, 3.5 to 3.5.7 and earlier unsupported versions, where users with thEPSS 0.6%CVE-2020-5231MEDIUMOpencast users with ROLE_COURSE_ADMIN can create new usersEPSS 0.6%CVE-2023-20182MEDIUMCisco DNA Center Software API VulnerabilitiesEPSS 0.6%CVE-2022-29490HIGHA vulnerability exists in the Workplace X WebUI in which an authenticated user is able to execute any MicroSCADA internal scripts irrespective of the authenticated user's role.EPSS 0.6%CVE-2025-8261MEDIUMVaelsys VaelsysV4 User Creation vgrid_server.php improper authorizationEPSS 0.6%