Weaknesses of type CWE-285

1,730 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2025-29922CRITICALkcp allows unauthorized creation and deletion of objects in arbitrary workspaces through APIExport Virtual WorkspaceEPSS 0.4%CVE-2023-39399CRITICALParameter verification vulnerability in the installd module. Successful exploitation of this vulnerability may cause sandbox files to be reaEPSS 0.4%CVE-2023-39403CRITICALParameter verification vulnerability in the installd module. Successful exploitation of this vulnerability may cause sandbox files to be reaEPSS 0.4%CVE-2026-114245MEDIUMdhikshitha29 Insurance-Management-System Add New Admin Form Admin-Register-inc.php improper authorizationEPSS 0.4%CVE-2023-39398CRITICALParameter verification vulnerability in the installd module. Successful exploitation of this vulnerability may cause sandbox files to be reaEPSS 0.4%CVE-2025-10374MEDIUMShenzhen Sixun Business Management System OperatorStop improper authorizationEPSS 0.4%CVE-2025-11174MEDIUMDocument Library Lite <= 1.1.6 - Missing Authorization to Sensitive Information ExposureEPSS 0.4%CVE-2025-30117HIGHAn issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Managing Settings and Obtaining Sensitive Data and Sabotaging theEPSS 0.4%CVE-2025-10073MEDIUMPortabilis i-Educar turma improper authorizationEPSS 0.4%CVE-2025-10384MEDIUMyangzongzhuan RuoYi Role cancelAll improper authorizationEPSS 0.4%CVE-2025-10390MEDIUMCRMEB UserAddressServices.php editAddress improper authorizationEPSS 0.4%CVE-2023-6731MEDIUMWP Show Posts <= 1.1.5 - Improper Authorization to Information ExposureEPSS 0.4%CVE-2026-17529MEDIUMAstrBotDevs AstrBot astr_main_agent.py authorizationEPSS 0.4%CVE-2026-46484HIGHHeadplane: Path Traversal + RBAC Bypass in renameNode allows authenticated OIDC users to expire or rename any node/userEPSS 0.4%CVE-2026-94152MEDIUMOmega Solution FBP Fulfillment by People User Profile API user authorizationEPSS 0.4%CVE-2026-16075MEDIUMAstrBotDevs AstrBot session-listing Endpoint open_api.py OpenApiRoute.get_chat_sessions authorizationEPSS 0.4%CVE-2026-17434MEDIUMnanocoai NanoClaw add_mcp_server request.ts handleAddMcpServer improper authorizationEPSS 0.4%CVE-2026-19064MEDIUMSourceCodester Online Examination & Learning Management System view.php authorizationEPSS 0.4%CVE-2026-16450MEDIUMzsadmin2025 ZS-Admin MyBatis-Plus Tenant Plugin page getTenantId authorizationEPSS 0.4%CVE-2026-17530MEDIUMAstrBotDevs AstrBot Subagent astr_agent_tool_exec.py _build_handoff_toolset authorizationEPSS 0.4%