Weaknesses of type CWE-285

1,726 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2025-63218CRITICALThe Axel Technology WOLF1MS and WOLF2MS devices (firmware versions 0.8.5 to 1.0.3) are vulnerable to Broken Access Control due to missing auEPSS 0.7%CVE-2021-4334HIGHFancy Product Designer <= 4.6.9 - Insufficient Authorization to Arbitrary Options Update via fpd_update_optionsEPSS 0.7%CVE-2021-27772HIGHHCL Sametime is vulnerable to an information disclosureEPSS 0.7%CVE-2023-53895CRITICALPimpMyLog 1.7.14 Improper Access Control via Account Creation EndpointEPSS 0.7%CVE-2022-27583CRITICALA remote unprivileged attacker can interact with the configuration interface of a Flexi-Compact FLX3-CPUC1 or FLX3-CPUC2 running an affectedEPSS 0.7%CVE-2025-27509CRITICALSAML authentication vulnerability due to improper SAML response validationEPSS 0.7%CVE-2024-27916HIGH`GetRepositoryByName`, `DeleteRepositoryByName` and `GetArtifactByName` allow access of arbitrary repositories in Minder by any authenticated userEPSS 0.7%CVE-2022-32170MEDIUMbytebase - Improper AuthorizationEPSS 0.7%CVE-2022-32169MEDIUMbytebase - Improper AuthorizationEPSS 0.7%CVE-2022-0406MEDIUMImproper Authorization in janeczku/calibre-webEPSS 0.7%CVE-2023-38508MEDIUMTuleap allows preview of a linked artifact with a type does not respect permissionsEPSS 0.7%CVE-2024-34463MEDIUMBPL Personal Weighing Scale PWS-01BT IND/09/18/599 devices send sensitive information in unencrypted BLE packets. (The packet data also lackEPSS 0.7%CVE-2025-59271HIGHRedis Enterprise Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2025-61524HIGHAn issue in the permission verification module and organization/application editing interface in Casdoor v2.26.0 and before, and fixed in v.EPSS 0.7%CVE-2014-2349—Emerson DeltaV Use of Improper AuthorizationEPSS 0.7%CVE-2024-1043MEDIUMAMP for WP <= 1.0.93.1 - Authenticated(Contributor+) Arbitrary Post Deletion via amppb_remove_saved_layout_dataEPSS 0.7%CVE-2020-10686MEDIUMA flaw was found in Keycloak version 8.0.2 and 9.0.0, and was fixed in Keycloak version 9.0.1, where a malicious user registers as oneself. EPSS 0.7%CVE-2022-29490HIGHA vulnerability exists in the Workplace X WebUI in which an authenticated user is able to execute any MicroSCADA internal scripts irrespective of the authenticated user's role.EPSS 0.7%CVE-2025-55675MEDIUMApache Superset: Incorrect datasource authorization on REST APIEPSS 0.6%CVE-2023-0456HIGHApicast proxies the api call with incorrect jwt token to the api backend without proper authorization checkEPSS 0.6%