Weaknesses of type CWE-285

1,575 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2019-1934HIGHCisco Adaptive Security Appliance Software Web-Based Management Interface Privilege Escalation VulnerabilityEPSS 1.6%CVE-2020-10516—Improper access control in GitHub Enterprise Server leading to privilege escalation of organization memberEPSS 1.6%CVE-2025-29827CRITICALAzure Automation Elevation of Privilege VulnerabilityEPSS 1.6%CVE-2023-6538HIGHSystem Management Unit (SMU) versions prior to 14.8.7825.01, used to manage Hitachi Vantara NAS products is susceptible to unintended information disclosure via unprivileged access to SMU configuration backup data.EPSS 1.6%CVE-2020-24404LOWIncorrect permissions in Integrations component could lead to unauthorized deletion of cmsPages via REST APIEPSS 1.6%CVE-2025-31255CRITICALAn authorization issue was addressed with improved state management. This issue is fixed in iOS 26 and iPadOS 26, macOS Sequoia 15.7, macOS EPSS 1.6%CVE-2026-33186CRITICALgRPC-Go has an authorization bypass via missing leading slash in :pathEPSS 1.6%CVE-2024-10654MEDIUMTOTOLINK LR350 formLoginAuth.htm authorizationEPSS 1.6%CVE-2026-55956MEDIUMApache Tomcat: Security constraints for default servlet ignored methodEPSS 1.5%CVE-2020-24405MEDIUMIncorrect permissions in Inventory module could lead to unauthorized modification of inventory stock dataEPSS 1.5%CVE-2020-3150MEDIUMCisco Small Business RV110W and RV215W Series Routers Information Disclosure VulnerabilityEPSS 1.5%CVE-2021-32523CRITICALQSAN Storage Manager - Improper AuthorizationEPSS 1.5%CVE-2025-29659CRITICALYi IOT XY-3820 6.0.24.10 is vulnerable to Remote Command Execution via the "cmd_listen" function located in the "cmd" binary.EPSS 1.5%CVE-2021-41093HIGHAccount takeover when having only access to a user's short lived tokenEPSS 1.5%CVE-2017-2632MEDIUMA logic error in valid_role() in CloudForms role validation before 5.7.1.3 could allow a tenant administrator to create groups with a higherEPSS 1.5%CVE-2023-44410HIGHD-Link D-View showUsers Improper Authorization Privilege Escalation VulnerabilityEPSS 1.5%CVE-2022-30670HIGHEscalate Privileges to Server Admin - Robohelp ServerEPSS 1.5%CVE-2022-3686MEDIUMSDM600 API permission checkEPSS 1.4%CVE-2023-21549HIGHWindows SMB Witness Service Elevation of Privilege VulnerabilityEPSS 1.4%CVE-2021-28563MEDIUMMagento Commerce improper Authorization via the 'Create Customer' endpointEPSS 1.4%