Weaknesses of type CWE-285

1,730 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2026-16199MEDIUMnextlevelbuilder GoClaw credentialed_exec.go ExecTool.Execute improper authorizationEPSS 0.4%CVE-2026-90810MEDIUMcosmicstack-labs mercury-agent Shell Command Permission Check permissions.ts PermissionManager.checkShellCommand improper authorizationEPSS 0.4%CVE-2026-77036MEDIUMelunez eladmin GenConfigController improper authorizationEPSS 0.4%CVE-2026-78158MEDIUMOpen5GS AMF UEContextReleaseRequest Path improper authorizationEPSS 0.4%CVE-2026-18997MEDIUMcosmicstack-labs mercury-agent bg agent.ts Agent.handleBgCommand authorizationEPSS 0.4%CVE-2026-90520MEDIUMjaychouchannel Tourism-Management-System Authorization Interceptor AuthorizationInterceptor.java improper authorizationEPSS 0.4%CVE-2026-18992MEDIUMzhayujie CowAgent Self-Evolution Review Agent executor.py _select_tools authorizationEPSS 0.4%CVE-2026-15318MEDIUMSipeed PicoClaw MQTT Channel mqtt.go authorizationEPSS 0.4%CVE-2026-85241MEDIUMSpecterOps BloodHound Graph Write Endpoint v2.go NewV2API improper authorizationEPSS 0.4%CVE-2026-18722MEDIUMdiaowen DWSurvey dev-survey.do in DwDeisgnSurveyController.devSurvey. authorizationEPSS 0.4%CVE-2024-20333MEDIUMA vulnerability in the web-based management interface of Cisco Catalyst Center, formerly Cisco DNA Center, could allow an authenticated, remEPSS 0.4%CVE-2026-18818MEDIUMEhco1996 django-sspanel Support Ticket views.py TicketDetailView authorizationEPSS 0.4%CVE-2026-15909MEDIUMRafyMrX TOKO-ONLINE-ROTI add.php authorizationEPSS 0.4%CVE-2026-82816MEDIUMdibo-software diboot AI Session Endpoint ai-session authorizationEPSS 0.4%CVE-2023-22428HIGH Improper privilege validation in Command Centre Server allows authenticated operators to modify Division lineage. This issue affects CommaEPSS 0.4%CVE-2025-4519HIGHIDonate 2.1.5 - 2.1.9 - Missing Authorization to Authenticated (Subscriber+) Account Takeover/Privilege Escalation via idonate_donor_password FunctionEPSS 0.4%CVE-2026-112043MEDIUMcalcom cal.com/cal.diy Webhook util.ts createWebhookProcedure authorizationEPSS 0.4%CVE-2026-50279HIGHCraft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gapEPSS 0.4%CVE-2026-48089HIGHDevGuard has improper authorization on public assetsEPSS 0.4%CVE-2026-16279CRITICALImproper Authorization vulnerability affecting 3DPassport in 3DSwymer from Release 3DEXPERIENCE R2023x through Release 3DEXPERIENCE R2026xEPSS 0.4%