Weaknesses of type CWE-285

1,730 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-37154MEDIUMEvmos allows unvested token delegationsEPSS 0.4%CVE-2026-80378HIGHDataStage on Cloud Pak for Data has several vulnerabilities due to open source softwareEPSS 0.4%CVE-2026-120224CRITICALOray Pugongying X5 Pro API Authorization run_async_task improper authorizationEPSS 0.4%CVE-2023-1164HIGHKylinSoft kylin-activation File Import improper authorizationEPSS 0.4%CVE-2025-8839MEDIUMjshERP Endpoint addUser improper authorizationEPSS 0.4%CVE-2026-90499MEDIUMlenve vhr Password Update pass HrInfoController.updatePass improper authorizationEPSS 0.4%CVE-2026-7505MEDIUMnextlevelbuilder GoClaw/GoClaw Lite RPC improper authorizationEPSS 0.4%CVE-2026-121582MEDIUMUmami Record API Endpoint route.ts authorizationEPSS 0.4%CVE-2024-6375MEDIUMMissing authorization check may lead to shard key refinementEPSS 0.4%CVE-2026-40246HIGHfree5gc UDR improper path validation allows unauthenticated deletion of Traffic Influence SubscriptionsEPSS 0.4%CVE-2025-63691CRITICALIn pig-mesh In Pig version 3.8.2 and below, within the Token Management function under the System Management module, the token query interfaEPSS 0.4%CVE-2025-3981MEDIUMwowjoy 浙江湖州华卓信息科技有限公司 Internet Doctor Workstation System details improper authorizationEPSS 0.4%CVE-2026-113643MEDIUMEspoCRM PDF Rendering Pipeline ImageSourceProvider.php get authorizationEPSS 0.4%CVE-2026-56350MEDIUMn8n - SSO Enforcement Bypass via APIEPSS 0.4%CVE-2026-48744MEDIUMSaleor: Anonymous users can modify channel settings via `channelUpdate` due to `all([])` bypass in permission checkEPSS 0.4%CVE-2025-11256MEDIUMKognetiks Chatbot <= 2.3.5 - Missing Authorization to Unauthenticated Limited File Uploads and Conversation ErasingEPSS 0.4%CVE-2026-86009HIGHMailu: Domain managers can allow themselves to spoof on other hosted domains they should not controlEPSS 0.4%CVE-2025-53512MEDIUMSensitive log retrieval in JujuEPSS 0.4%CVE-2023-28055HIGH Dell NetWorker, Version 19.7 has an improper authorization vulnerability in the NetWorker client. An unauthenticated attacker within the saEPSS 0.4%CVE-2026-76420CRITICALCisco Secure Firewall Management Center Software Impersonated sftunnel Connection VulnerabilityEPSS 0.4%