Weaknesses of type CWE-285

1,726 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-11306MEDIUMAltenergy Power Control Software database improper authorizationEPSS 0.5%CVE-2022-0027MEDIUMCortex XSOAR: Incorrect Authorization Vulnerability When Generating ReportsEPSS 0.5%CVE-2026-3762MEDIUMSourceCodester Client Database Management System Endpoint superadmin_delete_manager.php improper authorizationEPSS 0.5%CVE-2022-31670HIGHHarbor fails to validate the user permissions when updating tag retention policiesEPSS 0.5%CVE-2022-32838MEDIUMA logic issue was addressed with improved state management. This issue is fixed in macOS Monterey 12.5, macOS Big Sur 11.6.8, Security UpdatEPSS 0.5%CVE-2026-30956CRITICALOneUptime has authorization bypass via client‑controlled is-multi-tenant-query headerEPSS 0.5%CVE-2023-5808HIGHSystem Management Unit (SMU) versions prior to 14.8.7825.01, used to manage Hitachi Vantara NAS products are susceptible to unintended information disclosure via unprivileged access to HNAS configuration backup and diagnostic data.EPSS 0.5%CVE-2026-95754MEDIUMMISP: Disabled-user check ineffective in pre-authentication TOTP login branchEPSS 0.5%CVE-2025-3202MEDIUMageerle ruoyi-ai SysNoticeController.java improper authorizationEPSS 0.5%CVE-2023-0583MEDIUMVK Blocks <= 1.57.0.5 - Authenticated(Contributor+) Settings UpdateEPSS 0.5%CVE-2026-24305CRITICALAzure Entra ID Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-19979MEDIUMGL.iNet XE3000 WebDAV Service MOVE authorizationEPSS 0.5%CVE-2021-3837HIGHImproper Authorization in openwhyd/openwhydEPSS 0.5%CVE-2023-3574MEDIUMImproper Authorization in pimcore/customer-data-frameworkEPSS 0.5%CVE-2025-53944HIGHAutoGPT Platform Exposes Graph Execution Results via Authorization GapEPSS 0.5%CVE-2023-30948MEDIUMRetrieval of Attachments to Comments lacks AuthorizationEPSS 0.5%CVE-2021-42000MEDIUMPing Identity PingFederate Password Reset and Password Change Mishandling with an authentication policy in parallel reset flowsEPSS 0.5%CVE-2026-42922CRITICALA authorization bypass vulnerability exists in the /nodered functionality of FUXA (version(s): 1.3.2-2809). A specially crafted HTTP requestEPSS 0.5%CVE-2024-9082MEDIUMSourceCodester Online Eyewear Shop User Creation Users.php improper authorizationEPSS 0.5%CVE-2025-1815MEDIUMpbrong hrms resource.go HrmsDB improper authorizationEPSS 0.5%