Weaknesses of type CWE-285

1,596 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-16195MEDIUMSipeed PicoClaw Group Message wecom.go dispatchIncoming authorizationEPSS 0.4%CVE-2025-10820MEDIUMfuyang_lipengjun platform queryAll TopicController improper authorizationEPSS 0.4%CVE-2024-20333MEDIUMA vulnerability in the web-based management interface of Cisco Catalyst Center, formerly Cisco DNA Center, could allow an authenticated, remEPSS 0.4%CVE-2026-15909MEDIUMRafyMrX TOKO-ONLINE-ROTI add.php authorizationEPSS 0.4%CVE-2025-10819MEDIUMfuyang_lipengjun platform queryAll UserCouponController improper authorizationEPSS 0.4%CVE-2023-22428HIGH Improper privilege validation in Command Centre Server allows authenticated operators to modify Division lineage. This issue affects CommaEPSS 0.4%CVE-2026-3764MEDIUMSourceCodester Client Database Management System superadmin_user_update.php improper authorizationEPSS 0.4%CVE-2026-23981MEDIUMApache Superset: Improper Authorization in Chart Update allowing Dashboard ModificationEPSS 0.4%CVE-2026-92087HIGH@fastify/auth vulnerable to Authorization Bypass via order-dependent evaluation of composed authEPSS 0.4%CVE-2026-48089HIGHDevGuard has improper authorization on public assetsEPSS 0.4%CVE-2025-13807MEDIUMorionsec orion-ops API MachineKeyController.java MachineKeyController improper authorizationEPSS 0.4%CVE-2026-56311MEDIUMCapgo - Unauthenticated Cross-Tenant Disclosure via get_current_plan_max_org RPCEPSS 0.4%CVE-2026-3734MEDIUMSourceCodester Client Database Management System Endpoint fetch_manager_details.php improper authorizationEPSS 0.4%CVE-2026-50279HIGHCraft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gapEPSS 0.4%CVE-2025-15106MEDIUMgetmaxun Authentication Endpoint auth.ts router.get improper authorizationEPSS 0.4%CVE-2026-56249HIGHCapgo - Unauthorized Channel Overwrite and Ownership Takeover via POST /channel Name CollisionEPSS 0.4%CVE-2023-32717MEDIUMRole-based Access Control (RBAC) Bypass on '/services/indexing/preview' REST Endpoint Can Overwrite Search ResultsEPSS 0.4%CVE-2025-15582MEDIUMdetronetdip E-commerce Product Management Update authorizationEPSS 0.4%CVE-2024-21026MEDIUMVulnerability in the Oracle Complex Maintenance, Repair, and Overhaul product of Oracle E-Business Suite (component: LOV). Supported versioEPSS 0.4%CVE-2024-21035MEDIUMVulnerability in the Oracle Complex Maintenance, Repair, and Overhaul product of Oracle E-Business Suite (component: LOV). Supported versioEPSS 0.4%