Weaknesses of type CWE-285

1,715 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-52287MEDIUMauthentik performs insufficient validation of OAuth scopesEPSS 0.6%CVE-2026-28312CRITICALSolarWinds Serv-U Privilege Escalation VulnerabilityEPSS 0.6%CVE-2024-20381HIGHCisco Network Services Orchestrator Configuration Update Authorization Bypass VulnerabilityEPSS 0.6%CVE-2025-29926HIGHThe WikiManager REST API allows any user to create wikisEPSS 0.6%CVE-2024-52528CRITICALAuth Token can be passed dummy or wrong the middleware response is 200 OKEPSS 0.6%CVE-2024-48921HIGHKyverno's PolicyException objects can be created in any namespace by defaultEPSS 0.6%CVE-2026-86183MEDIUMdiem-project diem dmWidget BasedmWidgetActions.class.php authorizationEPSS 0.6%CVE-2026-85381MEDIUMlight0011 cms Chapter Controller ChapterController.class.php authorizationEPSS 0.6%CVE-2026-90517MEDIUMPHPGurukul Bank Locker Management System view-assign-locker.php authorizationEPSS 0.6%CVE-2024-47876HIGHSakai: Kernel users created with type roleview can login as a normal userEPSS 0.6%CVE-2025-54378HIGHHAX CMS Backend Lacks Comprehensive Authorization ChecksEPSS 0.6%CVE-2026-12770MEDIUMBerriAI litellm Admin Key key_management_endpoints.py improper authorizationEPSS 0.6%CVE-2024-25063HIGHDue to insufficient server-side validation, a successful exploit of this vulnerability could allow an attacker to gain access to certain URLEPSS 0.6%CVE-2024-11073MEDIUMSourceCodester Hospital Management System delete-account.php improper authorizationEPSS 0.6%CVE-2026-86262MEDIUMsfturing hosp_order Order OrderController.java updateOrderdiseaseInfo authorizationEPSS 0.6%CVE-2026-86263MEDIUMsfturing hosp_order Order Cancellation OrderController.java orderRecordsService.cancelOrder authorizationEPSS 0.6%CVE-2026-86261MEDIUMsfturing hosp_order Order Controller OrderController.java authorizationEPSS 0.6%CVE-2026-76243CRITICALstigmem before 0.9.0a2 Authentication Bypass via Disabled AuthEPSS 0.6%CVE-2023-1167MEDIUMImproper authorization in Gitlab EE affecting all versions from 12.3.0 before 15.8.5, all versions starting from 15.9 before 15.9.4, all verEPSS 0.6%CVE-2022-40208MEDIUMIn Moodle, insufficient limitations in some quiz web services made it possible for students to bypass sequential navigation during a quiz atEPSS 0.6%