Weaknesses of type CWE-285

1,726 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2016-9464—Nextcloud Server before 9.0.54 and 10.0.0 suffers from an improper authorization check on removing shares. The Sharing Backend as implementeEPSS 1.6%CVE-2026-33186CRITICALgRPC-Go has an authorization bypass via missing leading slash in :pathEPSS 1.6%CVE-2020-24431MEDIUMAcrobat Reader DC for macOS Dynamic Library Injection VulnerabilityEPSS 1.6%CVE-2019-1934HIGHCisco Adaptive Security Appliance Software Web-Based Management Interface Privilege Escalation VulnerabilityEPSS 1.6%CVE-2020-10516—Improper access control in GitHub Enterprise Server leading to privilege escalation of organization memberEPSS 1.6%CVE-2023-44410HIGHD-Link D-View showUsers Improper Authorization Privilege Escalation VulnerabilityEPSS 1.6%CVE-2023-6538HIGHSystem Management Unit (SMU) versions prior to 14.8.7825.01, used to manage Hitachi Vantara NAS products is susceptible to unintended information disclosure via unprivileged access to SMU configuration backup data.EPSS 1.6%CVE-2024-10654MEDIUMTOTOLINK LR350 formLoginAuth.htm authorizationEPSS 1.6%CVE-2020-24405MEDIUMIncorrect permissions in Inventory module could lead to unauthorized modification of inventory stock dataEPSS 1.5%CVE-2025-29659CRITICALYi IOT XY-3820 6.0.24.10 is vulnerable to Remote Command Execution via the "cmd_listen" function located in the "cmd" binary.EPSS 1.5%CVE-2022-30670HIGHEscalate Privileges to Server Admin - Robohelp ServerEPSS 1.5%CVE-2020-3150MEDIUMCisco Small Business RV110W and RV215W Series Routers Information Disclosure VulnerabilityEPSS 1.5%CVE-2021-32523CRITICALQSAN Storage Manager - Improper AuthorizationEPSS 1.5%CVE-2021-41093HIGHAccount takeover when having only access to a user's short lived tokenEPSS 1.5%CVE-2023-21549HIGHWindows SMB Witness Service Elevation of Privilege VulnerabilityEPSS 1.5%CVE-2022-39322CRITICAL@keystone-6/core vulnerable to field-level access-control bypass for multiselect fieldEPSS 1.5%CVE-2017-2632MEDIUMA logic error in valid_role() in CloudForms role validation before 5.7.1.3 could allow a tenant administrator to create groups with a higherEPSS 1.5%CVE-2022-2536MEDIUMTransposh WordPress Translation <= 1.0.9.6 - Authorization BypassEPSS 1.5%CVE-2022-3686MEDIUMSDM600 API permission checkEPSS 1.4%CVE-2025-66301HIGHGrav ihas Broken Access Control which allows an Editor to modify the page's YAML Frontmatter to alter form processing actionsEPSS 1.4%