Weaknesses of type CWE-285

1,589 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-85878CRITICALAzure Database for PostgreSQL Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2025-3918CRITICALJob Listings 0.1 - 0.1.1 - Unauthenticated Privilege Escalation via register_action FunctionEPSS 0.5%CVE-2024-11306MEDIUMAltenergy Power Control Software database improper authorizationEPSS 0.5%CVE-2022-39862MEDIUMImproper authorization in Dynamic Lockscreen prior to SMR Sep-2022 Release 1 in Android R(11) and 3.3.03.66 in Android S(12) allows unauthorEPSS 0.5%CVE-2025-0484MEDIUMFanli2012 native-php-cms Backend sysconfig_doedit.php improper authorizationEPSS 0.5%CVE-2023-0914MEDIUMImproper Authorization in pixelfed/pixelfedEPSS 0.5%CVE-2022-31670HIGHHarbor fails to validate the user permissions when updating tag retention policiesEPSS 0.5%CVE-2022-32838MEDIUMA logic issue was addressed with improved state management. This issue is fixed in macOS Monterey 12.5, macOS Big Sur 11.6.8, Security UpdatEPSS 0.5%CVE-2023-5808HIGHSystem Management Unit (SMU) versions prior to 14.8.7825.01, used to manage Hitachi Vantara NAS products are susceptible to unintended information disclosure via unprivileged access to HNAS configuration backup and diagnostic data.EPSS 0.5%CVE-2023-0583MEDIUMVK Blocks <= 1.57.0.5 - Authenticated(Contributor+) Settings UpdateEPSS 0.5%CVE-2022-0027MEDIUMCortex XSOAR: Incorrect Authorization Vulnerability When Generating ReportsEPSS 0.5%CVE-2023-3574MEDIUMImproper Authorization in pimcore/customer-data-frameworkEPSS 0.5%CVE-2023-30948MEDIUMRetrieval of Attachments to Comments lacks AuthorizationEPSS 0.5%CVE-2025-43585HIGHAdobe Commerce | Improper Authorization (CWE-285)EPSS 0.5%CVE-2021-42000MEDIUMPing Identity PingFederate Password Reset and Password Change Mishandling with an authentication policy in parallel reset flowsEPSS 0.5%CVE-2022-31671HIGHHarbor fails to validate the user permissions when reading and updating job execution logs through the P2P preheat execution logsEPSS 0.5%CVE-2024-9082MEDIUMSourceCodester Online Eyewear Shop User Creation Users.php improper authorizationEPSS 0.5%CVE-2020-9049HIGHvictor Web Client and C•CURE Web Client JSON Web Token (JWT) VulnerabilityEPSS 0.5%CVE-2024-47084MEDIUMCORS origin validation is not performed when the request has a cookie in GradioEPSS 0.5%CVE-2024-45044HIGHBareos's negative command ACLs can be circumvented by abbreviating commandsEPSS 0.5%