Weaknesses of type CWE-285

1,711 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-70200CRITICALAzure Logic Apps Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2017-9268MEDIUMopen-build-service retrigger / wipebinaries hitting the wrong project bypassing access permissionsEPSS 0.6%CVE-2025-4104CRITICALFrontend Dashboard 1.0 - 2.2.6 - Missing Authorization to Unauthenticated Privilege Escalation via fed_wp_ajax_fed_login_form_post FunctionEPSS 0.6%CVE-2024-13694HIGHWooCommerce Wishlist <= 1.8.7 - Unauthenticated Wishlist Disclosure via download_pdf_file FunctionEPSS 0.6%CVE-2022-36454MEDIUMA vulnerability in the MiCollab Client API of Mitel MiCollab through 9.5.0.101 could allow an authenticated attacker to modify their profileEPSS 0.6%CVE-2024-7851MEDIUMSourceCodester Yoga Class Registration System Add User Users.php improper authorizationEPSS 0.6%CVE-2023-22348MEDIUMReading host_configs does not honour contact groupsEPSS 0.6%CVE-2026-15622MEDIUMpoco-ai poco-claw Workspace API workspace.py get_workspace_file authorizationEPSS 0.6%CVE-2024-20393HIGHCisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Privilege Escalation VulnerabilityEPSS 0.6%CVE-2024-29033HIGHGoogleOAuthenticator.hosted_domain incorrectly verifies membership of an Google organization/workspaceEPSS 0.6%CVE-2024-8509HIGHMigration toolkit for virtualization: forklift-controller: empty bearer token may perform authenticationEPSS 0.6%CVE-2024-13109MEDIUMBeijing Yunfan Internet Technology Yunfan Learning Examination System doc.html improper authorizationEPSS 0.6%CVE-2022-26773HIGHA logic issue was addressed with improved state management. This issue is fixed in iTunes 12.12.4 for Windows. An application may be able toEPSS 0.6%CVE-2026-116368MEDIUMDeepSeek Harness Browser Auth browser-auth.ts improper authorizationEPSS 0.6%CVE-2021-23136MEDIUMImproper Authorization vulnerability in Gallagher Command Centre Server allows macro overrides to be performed by an unprivileged Command CeEPSS 0.6%CVE-2024-38371HIGHInsufficient access control for OAuth2 Device Code flow in authentikEPSS 0.6%CVE-2026-22022HIGHApache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPluginEPSS 0.6%CVE-2026-93961MEDIUMDromara UJCMS UserController UserController.java usernameExist improper authorizationEPSS 0.6%CVE-2026-94379MEDIUMMISP: HTTP Method Bypass of Login Security Controls (Bruteforce Protection and Email OTP)EPSS 0.6%CVE-2024-52287MEDIUMauthentik performs insufficient validation of OAuth scopesEPSS 0.6%