Weaknesses of type CWE-285

1,598 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2025-10992MEDIUMroncoo roncoo-pay lookupList improper authorizationEPSS 0.4%CVE-2025-29922CRITICALkcp allows unauthorized creation and deletion of objects in arbitrary workspaces through APIExport Virtual WorkspaceEPSS 0.4%CVE-2026-33125HIGHFrigate Broken Access Control: Users assigned the viewer role can delete admin and other low-privileged accountsEPSS 0.4%CVE-2025-30117HIGHAn issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Managing Settings and Obtaining Sensitive Data and Sabotaging theEPSS 0.4%CVE-2026-55519MEDIUMSnipe-IT: Improper Authorization in File Deletion (IDOR)EPSS 0.4%CVE-2025-10384MEDIUMyangzongzhuan RuoYi Role cancelAll improper authorizationEPSS 0.4%CVE-2025-3977MEDIUMiteachyou Dreamer CMS Attachment download improper authorizationEPSS 0.4%CVE-2026-7144MEDIUM1000 Projects Portfolio Management System MCA update_passwd_process.php authorizationEPSS 0.4%CVE-2026-19006MEDIUMmf-yang openclaw-cn Ggateway Exec Approval Flow bash-tools.exec.ts authorizationEPSS 0.4%CVE-2026-30495HIGHThe Optoma CinemaX P2 projector (firmware TVOS-04.24.010.04.01, Android 8.0.0) exposes Android Debug Bridge (ADB) on TCP port 5555 over the EPSS 0.4%CVE-2026-90810MEDIUMcosmicstack-labs mercury-agent Shell Command Permission Check permissions.ts PermissionManager.checkShellCommand improper authorizationEPSS 0.4%CVE-2026-16199MEDIUMnextlevelbuilder GoClaw credentialed_exec.go ExecTool.Execute improper authorizationEPSS 0.4%CVE-2026-9484MEDIUMSourceCodester Student Grades Management System classroom.php removeStudentFromClassroom improper authorizationEPSS 0.4%CVE-2025-10390MEDIUMCRMEB UserAddressServices.php editAddress improper authorizationEPSS 0.4%CVE-2026-7602MEDIUMJeecgBoot FillRuleUtil edit improper authorizationEPSS 0.4%CVE-2026-16195MEDIUMSipeed PicoClaw Group Message wecom.go dispatchIncoming authorizationEPSS 0.4%CVE-2026-15318MEDIUMSipeed PicoClaw MQTT Channel mqtt.go authorizationEPSS 0.4%CVE-2026-16121MEDIUMnextlevelbuilder GoClaw exec_approval.go isSafeBin improper authorizationEPSS 0.4%CVE-2026-85241MEDIUMSpecterOps BloodHound Graph Write Endpoint v2.go NewV2API improper authorizationEPSS 0.4%CVE-2026-18998MEDIUMcosmicstack-labs mercury-agent delegate_task Tool sub-agent.ts SubAgent.run improper authorizationEPSS 0.4%