Weaknesses of type CWE-285

1,729 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-5053MEDIUMContact Form Plugin by Fluent Forms for Quiz, Survey, and Drag & Drop WP Form Builder <= 5.1.18 - Missing Authorization to Authenticated (Subscriber+) Mailchimp Integration ModificationEPSS 0.4%CVE-2026-113696MEDIUMImproper Authorization in BMC ITSM SmartIT Change ApprovalsEPSS 0.4%CVE-2025-9609MEDIUMPortabilis i-Educar consulta improper authorizationEPSS 0.4%CVE-2021-4335MEDIUMFancy Product Designer <= 4.6.9 - Insufficient Authorization on Mulitple AJAX ActionsEPSS 0.4%CVE-2026-14693MEDIUMSourceCodester Multi-Vendor Online Grocery Management System Master.php cancel_order improper authorizationEPSS 0.4%CVE-2026-56246HIGHCapgo - Cross-Organization Authorization Bypass via Scoped API Key Privilege InheritanceEPSS 0.4%CVE-2026-78115MEDIUMSourceCodester Class and Exam Timetabling System User Account Update edit_user_account.php improper authorizationEPSS 0.4%CVE-2026-40259HIGHSiYuan: Publish Reader Can Arbitrarily Delete Attribute View Files via removeUnusedAttributeView APIEPSS 0.4%CVE-2025-6702MEDIUMlinlinjava litemall post improper authorizationEPSS 0.4%CVE-2026-12797MEDIUMBerriAI litellm Completions banned_keywords.py async_pre_call_hook authorizationEPSS 0.4%CVE-2026-114361MEDIUMHarnessRouter Identity Mode app.py improper authorizationEPSS 0.4%CVE-2026-33735HIGHMyTube has an Improper Access Control that Allows Complete Application TakeoverEPSS 0.4%CVE-2025-0580MEDIUMShiprocket Module REST API Module rest_api authorizationEPSS 0.4%CVE-2022-40536HIGHImproper authentication in ModemEPSS 0.4%CVE-2025-13807MEDIUMorionsec orion-ops API MachineKeyController.java MachineKeyController improper authorizationEPSS 0.4%CVE-2025-10977LOWJeecgBoot deleteBatch improper authorizationEPSS 0.4%CVE-2026-14716MEDIUMnextlevelbuilder GoClaw WebSocket RPC router.go MethodRouter.Handle authorizationEPSS 0.4%CVE-2026-4958LOWOpenBMB XAgent WebSocket Endpoint replayer.py ReplayServer.send_data authorizationEPSS 0.4%CVE-2026-16119MEDIUMnextlevelbuilder GoClaw WebSocket Approval Endpoint exec_approval.go RequestApproval authorizationEPSS 0.4%CVE-2026-30878MEDIUMbaserCMS: Mail Form Acceptance Bypass via Public APIEPSS 0.4%