Weaknesses of type CWE-285

1,726 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-36108CRITICALMultiple Broken Function-Level Authorization vulnerabilities in casgateEPSS 0.6%CVE-2024-12901MEDIUMFoxCMS API Endpoint Site.php improper authorizationEPSS 0.6%CVE-2026-58704HIGHIn Cellular Modem, there is a possible permission bypass due to a logic error in the code. This could lead to remote (proximal/adjacent) escEPSS 0.6%KEVCVE-2020-5231MEDIUMOpencast users with ROLE_COURSE_ADMIN can create new usersEPSS 0.6%CVE-2026-16346CRITICALDataStage on Cloud Pak for Data has several vulnerabilitiesEPSS 0.6%CVE-2023-20182MEDIUMCisco DNA Center Software API VulnerabilitiesEPSS 0.6%CVE-2025-21275HIGHWindows App Package Installer Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2022-39862MEDIUMImproper authorization in Dynamic Lockscreen prior to SMR Sep-2022 Release 1 in Android R(11) and 3.3.03.66 in Android S(12) allows unauthorEPSS 0.6%CVE-2025-1607MEDIUMSourceCodester Best Employee Management System salary_slip.php authorizationEPSS 0.6%CVE-2021-33723—A vulnerability has been identified in SINEC NMS (All versions < V1.0 SP2 Update 1). An authenticated attacker could change the user profileEPSS 0.6%CVE-2025-2114MEDIUMShenzhen Sixun Software Sixun Shanghui Group Business Management System Reset Password Interface OperatorStop.asp improper authorizationEPSS 0.6%CVE-2026-66722HIGHApache CloudStack: ProjectRole & ProjectRolePermission authorization issueEPSS 0.6%CVE-2024-12347MEDIUMGuangzhou Huayi Intelligent Technology Jeewms Druid Monitoring Interface index.html improper authorizationEPSS 0.6%CVE-2026-55077HIGHCoder: User-admin role can reset owner account passwordEPSS 0.6%CVE-2026-47298HIGHMicrosoft SharePoint Server Remote Code Execution VulnerabilityEPSS 0.6%CVE-2025-53795CRITICALMicrosoft PC Manager Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2024-2441HIGHVikBooking < 1.6.8 - Insecure Direct Object ReferencesEPSS 0.6%CVE-2025-53106HIGHGraylog vulnerable to privilege escalation through API tokensEPSS 0.6%CVE-2019-25149HIGHGallery Images Ape <= 2.0.6 - Authenticated Plugin DeactivationEPSS 0.6%CVE-2025-4104CRITICALFrontend Dashboard 1.0 - 2.2.6 - Missing Authorization to Unauthenticated Privilege Escalation via fed_wp_ajax_fed_login_form_post FunctionEPSS 0.6%