Weaknesses of type CWE-285

1,587 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2021-24190—WooCommerce Conditional Marketing Mailer < 1.5.2 - Arbitrary Plugin Installation/Activation via Low Privilege UserEPSS 1.3%CVE-2021-24195—Login as User or Customer (User Switching) < 1.9 - Arbitrary Plugin Installation/Activation via Low Privilege UserEPSS 1.3%CVE-2021-24193—Visitor Traffic Real Time Statistics < 2.12 - Arbitrary Plugin Installation/Activation via Low Privilege UserEPSS 1.3%CVE-2021-21362HIGHBypassing readOnly policy by creating a temporary 'mc share upload' URLEPSS 1.3%CVE-2019-10154MEDIUMA flaw was found in Moodle before versions 3.7, 3.6.4. A web service fetching messages was not restricted to the current user's conversationEPSS 1.3%CVE-2021-22865—Improper access control in GitHub Enterprise Server leading to unauthorized read access to private repository metadataEPSS 1.3%CVE-2025-1361HIGHIP2Location Country Blocker <= 2.38.8 - Missing Authorization to Unauthenticated Information Exposure via admin_init FunctionEPSS 1.3%CVE-2021-24191—WP Maintenance Mode & Site Under Construction < 1.8.2 - Arbitrary Plugin Installation/Activation via Low Privilege UserEPSS 1.3%CVE-2022-0829MEDIUMImproper Authorization in webmin/webminEPSS 1.3%CVE-2020-5206HIGHAuthentication Bypass For Endpoints With Anonymous Access in OpenCastEPSS 1.3%CVE-2019-6581—A vulnerability has been identified in Siveillance VMS 2017 R2 (All versions < V11.2a), Siveillance VMS 2018 R1 (All versions < V12.1a), SivEPSS 1.3%CVE-2022-2595CRITICALImproper Authorization in kromitgmbh/titraEPSS 1.3%CVE-2021-41137HIGHBypassing policy restrictions on regular usersEPSS 1.3%CVE-2020-14486MEDIUMOpenClinic GAEPSS 1.3%CVE-2017-0896—Zulip Server 1.5.1 and below suffer from an error in the implementation of the invite_by_admins_only setting in the Zulip group chat applicaEPSS 1.3%CVE-2020-5356HIGHDell PowerProtect Data Manager (PPDM) versions prior to 19.4 and Dell PowerProtect X400 versions prior to 3.2 contain an improper authorizatEPSS 1.3%CVE-2019-3785MEDIUMCloud Controller provides signed URL with write authorization to read only userEPSS 1.3%CVE-2024-38129HIGHWindows Kerberos Elevation of Privilege VulnerabilityEPSS 1.3%CVE-2021-41974CRITICALTad Book3 - Improper AuthorizationEPSS 1.3%CVE-2020-5289MEDIUMRead permissions not enforced for client provided filter expressions in Elide http clientEPSS 1.3%