Weaknesses of type CWE-285

1,588 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-5246MEDIUMCesanta Mongoose P-384 Public Key mongoose.c mg_tls_verify_cert_signature authorizationEPSS 0.6%CVE-2025-1607MEDIUMSourceCodester Best Employee Management System salary_slip.php authorizationEPSS 0.6%CVE-2021-33723—A vulnerability has been identified in SINEC NMS (All versions < V1.0 SP2 Update 1). An authenticated attacker could change the user profileEPSS 0.6%CVE-2025-21275HIGHWindows App Package Installer Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2024-12347MEDIUMGuangzhou Huayi Intelligent Technology Jeewms Druid Monitoring Interface index.html improper authorizationEPSS 0.6%CVE-2026-55077HIGHCoder: User-admin role can reset owner account passwordEPSS 0.6%CVE-2022-36453HIGHA vulnerability in the MiCollab Client API of Mitel MiCollab 9.1.3 through 9.5.0.101 could allow an authenticated attacker to modify their pEPSS 0.6%CVE-2024-12901MEDIUMFoxCMS API Endpoint Site.php improper authorizationEPSS 0.6%CVE-2022-2901HIGHImproper Authorization in chatwoot/chatwootEPSS 0.6%CVE-2024-2441HIGHVikBooking < 1.6.8 - Insecure Direct Object ReferencesEPSS 0.6%CVE-2019-25149HIGHGallery Images Ape <= 2.0.6 - Authenticated Plugin DeactivationEPSS 0.6%CVE-2022-27583CRITICALA remote unprivileged attacker can interact with the configuration interface of a Flexi-Compact FLX3-CPUC1 or FLX3-CPUC2 running an affectedEPSS 0.6%CVE-2025-2114MEDIUMShenzhen Sixun Software Sixun Shanghui Group Business Management System Reset Password Interface OperatorStop.asp improper authorizationEPSS 0.6%CVE-2022-39356HIGHDiscourse user account takeover via email and invite linkEPSS 0.6%CVE-2024-37282HIGHIt was identified that under certain specific preconditions, an API key that was originally created with a specific privileges could be subsEPSS 0.6%CVE-2017-9268MEDIUMopen-build-service retrigger / wipebinaries hitting the wrong project bypassing access permissionsEPSS 0.6%CVE-2022-47409CRITICALAn issue was discovered in the fp_newsletter (aka Newsletter subscriber management) extension before 1.1.1, 1.2.0, 2.x before 2.1.2, 2.2.1 tEPSS 0.6%CVE-2024-13694HIGHWooCommerce Wishlist <= 1.8.7 - Unauthenticated Wishlist Disclosure via download_pdf_file FunctionEPSS 0.6%CVE-2024-7851MEDIUMSourceCodester Yoga Class Registration System Add User Users.php improper authorizationEPSS 0.6%CVE-2023-22348MEDIUMReading host_configs does not honour contact groupsEPSS 0.6%