Weaknesses of type CWE-285

1,589 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-48921HIGHKyverno's PolicyException objects can be created in any namespace by defaultEPSS 0.6%CVE-2022-42961MEDIUMAn issue was discovered in wolfSSL before 5.5.0. A fault injection attack on RAM via Rowhammer leads to ECDSA key disclosure. Users performiEPSS 0.6%CVE-2024-47876HIGHSakai: Kernel users created with type roleview can login as a normal userEPSS 0.6%CVE-2025-4104CRITICALFrontend Dashboard 1.0 - 2.2.6 - Missing Authorization to Unauthenticated Privilege Escalation via fed_wp_ajax_fed_login_form_post FunctionEPSS 0.6%CVE-2024-13109MEDIUMBeijing Yunfan Internet Technology Yunfan Learning Examination System doc.html improper authorizationEPSS 0.6%CVE-2026-12770MEDIUMBerriAI litellm Admin Key key_management_endpoints.py improper authorizationEPSS 0.6%CVE-2024-25063HIGHDue to insufficient server-side validation, a successful exploit of this vulnerability could allow an attacker to gain access to certain URLEPSS 0.6%CVE-2024-11073MEDIUMSourceCodester Hospital Management System delete-account.php improper authorizationEPSS 0.6%CVE-2026-22022HIGHApache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPluginEPSS 0.6%CVE-2025-29926HIGHThe WikiManager REST API allows any user to create wikisEPSS 0.6%CVE-2023-1167MEDIUMImproper authorization in Gitlab EE affecting all versions from 12.3.0 before 15.8.5, all versions starting from 15.9 before 15.9.4, all verEPSS 0.6%CVE-2023-3037HIGHHelpDezk Community improper authorizationEPSS 0.6%CVE-2022-40208MEDIUMIn Moodle, insufficient limitations in some quiz web services made it possible for students to bypass sequential navigation during a quiz atEPSS 0.6%CVE-2026-58284HIGHMicrosoft Edge (Chromium-based) Remote Code Execution VulnerabilityEPSS 0.6%CVE-2024-7799MEDIUMSourceCodester Simple Online Bidding System users.php improper authorizationEPSS 0.6%CVE-2022-26773HIGHA logic issue was addressed with improved state management. This issue is fixed in iTunes 12.12.4 for Windows. An application may be able toEPSS 0.6%CVE-2023-2950MEDIUMImproper Authorization in openemr/openemrEPSS 0.6%CVE-2026-24305CRITICALAzure Entra ID Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2023-27594MEDIUMCilium vulnerable to potential network policy bypass when routing IPv6 traffic EPSS 0.6%CVE-2026-85878CRITICALAzure Database for PostgreSQL Elevation of Privilege VulnerabilityEPSS 0.5%