Weaknesses of type CWE-285

1,592 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2025-4819LOWy_project RuoYi Offline Logout batchForceLogout improper authorizationEPSS 0.4%CVE-2025-0849MEDIUMCampCodes School Management Software Staff edit-staff improper authorizationEPSS 0.4%CVE-2025-46840HIGHAdobe Experience Manager | Improper Authorization (CWE-285)EPSS 0.4%CVE-2023-50871MEDIUMIn JetBrains YouTrack before 2023.3.22268 authorization check for inline comments inside thread replies was missedEPSS 0.4%CVE-2018-14662LOWIt was found Ceph versions before 13.2.4 that authenticated ceph users with read only permissions could steal dm-crypt encryption keys used EPSS 0.4%CVE-2023-29152MEDIUMPTC Vuforia Studio Improper AuthorizationEPSS 0.4%CVE-2025-54868HIGHLibreChat exposes arbitrary chats through Meilisearch engineEPSS 0.4%CVE-2025-53944HIGHAutoGPT Platform Exposes Graph Execution Results via Authorization GapEPSS 0.4%CVE-2025-3569MEDIUMJamesZBL/code-projects db-hospital-drug ShiroConfig.java improper authorizationEPSS 0.4%CVE-2026-5412CRITICALJuju CloudSpec API could leak senstive informationEPSS 0.4%CVE-2026-45503HIGHMicrosoft Exchange Server Information Disclosure VulnerabilityEPSS 0.4%CVE-2024-56323MEDIUMOpenFGA Authorization BypassEPSS 0.4%CVE-2026-22042MEDIUMRustFS has IAM Incorrect Authorization in ImportIam that Allows Privilege EscalationEPSS 0.4%CVE-2026-28448MEDIUMOpenClaw 2026.1.29 < 2026.2.1 - Authorization Bypass in Twitch Plugin allowFrom Access ControlEPSS 0.4%CVE-2023-0610MEDIUMImproper Authorization in wallabag/wallabagEPSS 0.4%CVE-2024-25949HIGHDell OS10 Networking Switches, versions10.5.6.x, 10.5.5.x, 10.5.4.x and 10.5.3.x ,contain an improper authorization vulnerability. A remote EPSS 0.4%CVE-2024-9297MEDIUMSourceCodester Online Railway Reservation System admin improper authorizationEPSS 0.4%CVE-2024-23670HIGHAn improper authorization in Fortinet FortiWebManager 7.2.0, FortiWebManager 7.0.0 through 7.0.4, FortiWebManager 6.3.0, FortiWebManager 6.2EPSS 0.4%CVE-2024-46942CRITICALIn OpenDaylight Model-Driven Service Abstraction Layer (MD-SAL) through 13.0.1, a controller with a follower role can configure flow entriesEPSS 0.4%CVE-2026-53548CRITICALTermix: IDOR — Authenticated user can fetch SSH passwords for hosts owned by other usersEPSS 0.4%