Weaknesses of type CWE-285

1,730 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2025-9937MEDIUMelunez eladmin LocalStorageController deleteFile improper authorizationEPSS 0.4%CVE-2025-15582MEDIUMdetronetdip E-commerce Product Management Update authorizationEPSS 0.4%CVE-2026-30702CRITICALThe WiFi Extender WDR201A (HW V2.1, FW LFMZX28040922V1.02) implements a broken authentication mechanism in its web management interface. TheEPSS 0.4%CVE-2023-32709MEDIUMLow-privileged User can View Hashed Default Splunk PasswordEPSS 0.4%CVE-2025-32982HIGHNETSCOUT nGeniusONE before 6.4.0 b2350 has a Broken Authorization Schema for the report module.EPSS 0.4%CVE-2026-103532MEDIUMimmich-app Immich Shared Link Preview access.ts checkSharedLinkAccess improper authorizationEPSS 0.4%CVE-2021-25417—Improper authorization in SDP SDK prior to SMR JUN-2021 Release 1 allows access to internal storage.EPSS 0.4%CVE-2024-13646HIGHSingle-user-chat <= 0.5 - Authenticated (Subscriber+) Limited Options UpdateEPSS 0.4%CVE-2020-27779—A flaw was found in grub2 in versions prior to 2.06. The cutmem command does not honor secure boot locking allowing an privileged attacker tEPSS 0.4%CVE-2026-108890MEDIUMBlackBeltTechnology pi-agent-dashboard Terminal terminal-handler.ts terminalManager.spawn improper authorizationEPSS 0.4%CVE-2025-15126LOWJeecgBoot getPositionUserList improper authorizationEPSS 0.4%CVE-2024-1289MEDIUMLearnPress <= 4.2.6.3 - Insecure Direct Object ReferenceEPSS 0.4%CVE-2024-41670HIGHPayPal Official Module for PrestaShop has Improperly Implemented Security Check for StandardEPSS 0.4%CVE-2026-41187MEDIUMCalico Tier Authorization Bypass via DeleteCollectionEPSS 0.4%CVE-2026-18207MEDIUMKeycloak-services: keycloak-services: client policy source-group condition bypass via duplicate group name matchingEPSS 0.4%CVE-2024-56802HIGHTapir allows DeployKey exposureEPSS 0.4%CVE-2025-11047MEDIUMPortabilis i-Educar aluno improper authorizationEPSS 0.4%CVE-2025-11050MEDIUMPortabilis i-Educar periodo-lancamento improper authorizationEPSS 0.4%CVE-2026-104632HIGHGitea fork workflow approval bypass through cancel and rerunEPSS 0.4%CVE-2025-11049MEDIUMPortabilis i-Educar unificacao-aluno improper authorizationEPSS 0.4%