Weaknesses of type CWE-285

1,729 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-96556MEDIUMNeethuharii CafeManagement AddCashierCode.php addcashier improper authorizationEPSS 0.5%CVE-2021-25354LOWImproper input check in Samsung Internet prior to version 13.2.1.46 allows attackers to launch non-exported activity in Samsung Browser via EPSS 0.5%CVE-2023-36633MEDIUMAn improper authorization vulnerability [CWE-285] in FortiMail webmail version 7.2.0 through 7.2.2 and before 7.0.5 allows an authenticated EPSS 0.5%CVE-2026-25254CRITICALImproper authorization in Qualcomm Software CenterEPSS 0.5%CVE-2025-6713HIGHMongoDB Server may be susceptible to privilege escalation due to $mergeCursors stageEPSS 0.5%CVE-2025-8547MEDIUMatjiu pybbs Email Verification improper authorizationEPSS 0.5%CVE-2025-46840HIGHAdobe Experience Manager | Improper Authorization (CWE-285)EPSS 0.5%CVE-2021-4344MEDIUMFrontend File Manager <= 18.2 - Privilege EscalationEPSS 0.5%CVE-2026-34239HIGHChamilo Authenticated Remote Code ExecutionEPSS 0.5%CVE-2026-52822MEDIUMKimai: Improper Authorization in Kimai Timesheet Restart and Duplicate Allows New Timesheets After Project Access RevocationEPSS 0.5%CVE-2026-58252MEDIUMNATS Server: Subscribe Authz Bypass via Wildcard-OverlapEPSS 0.5%CVE-2026-53548CRITICALTermix: IDOR — Authenticated user can fetch SSH passwords for hosts owned by other usersEPSS 0.5%CVE-2026-58251MEDIUMNATS Server: Queue Subscribe Authz BypassEPSS 0.5%CVE-2026-8196MEDIUMJeecgBoot mLogin Endpoint LoginController.java authorizationEPSS 0.5%CVE-2026-15594MEDIUMwaooAI waoowaoo Media hash.ts stablePublicIdFromStorageKey improper authorizationEPSS 0.5%CVE-2026-42609HIGHGrav: Administrative Account Disruption and Privilege De-escalation via User Overwrite LogicEPSS 0.5%CVE-2026-78887MEDIUMliketrek TREK Journey Photo Proxy validateShareTokenForAsset authorizationEPSS 0.5%CVE-2022-4962MEDIUMApollo Configuration Center users improper authorizationEPSS 0.5%CVE-2024-3434MEDIUMCP Plus Wi-Fi Camera User Management improper authorizationEPSS 0.5%CVE-2023-23696HIGH Dell Command Intel vPro Out of Band, versions prior to 4.3.1, contain an Improper Authorization vulnerability. A locally authenticated maliEPSS 0.5%