Weaknesses of type CWE-285

1,729 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-61838HIGHLychee: Album password bypass in ZIP downloadsEPSS 0.4%CVE-2026-48115MEDIUMMisskey: Improper Authorization in the Announcements APIEPSS 0.4%CVE-2025-54585HIGHGitProxy is vulnerable to a new branch approval exploitEPSS 0.4%CVE-2026-5326MEDIUMSourceCodester Leave Application System User Information index.php authorizationEPSS 0.4%CVE-2023-50363HIGHQTS, QuTS heroEPSS 0.4%CVE-2026-18499HIGHIBM WebSphere Application Server Liberty is affected by a privilege escalationEPSS 0.4%CVE-2024-39416MEDIUMUnauthorized user can export Orders Sale ReportEPSS 0.4%CVE-2026-84314HIGHNginx UI: Account Takeover via Missing `RequireSecureSession` on User Management EndpointEPSS 0.4%CVE-2026-30959MEDIUMOneUptime has WhatsApp Resend Verification Authorization BypassEPSS 0.4%CVE-2026-19986MEDIUMAdblock for Youtube Extension Event Listener contentscript.js updateDynamicRules improper authorizationEPSS 0.4%CVE-2026-50554MEDIUMNote Mark: Unauthenticated disclosure of soft-deleted note metadata via deleted=true on public books in note-markEPSS 0.4%CVE-2026-76352HIGHImproper Authorization through the REST API in Splunk EnterpriseEPSS 0.4%CVE-2024-47183HIGHParse Server's custom object ID allows to acquire role privilegesEPSS 0.4%CVE-2026-54624MEDIUMdjango CMS: Structure endpoint bypasses page-view permissionEPSS 0.4%CVE-2025-2600MEDIUMImproper authorization in the variable component in Devolutions Remote Desktop Manager on Windows allows an authenticated user to use the ELEPSS 0.4%CVE-2026-48499CRITICALActivepieces: Cross-tenant data exposure and code injection via the Code piece sandbox cacheEPSS 0.4%CVE-2026-3734MEDIUMSourceCodester Client Database Management System Endpoint fetch_manager_details.php improper authorizationEPSS 0.4%CVE-2026-15036MEDIUMHarness gitspaces Endpoint list_all.go getAuthorizedSpaces authorizationEPSS 0.4%CVE-2026-90697MEDIUMSourceCodester Inventory Management System invoice.php authorizationEPSS 0.4%CVE-2025-8756MEDIUMTDuckCloud tduck-platform manage preHandle improper authorizationEPSS 0.4%