Weaknesses of type CWE-285

1,587 results

Falha na verificação de autorização

A aplicação não valida ou valida incorretamente se um usuário tem permissão para acessar um recurso ou executar uma ação. O código assume que autenticação (saber quem é) é suficiente, ignorando autorização (saber o que pode fazer), permitindo que usuários acessem dados ou façam operações que não deveriam.

Example

Um usuário comum consegue listar faturas de outro cliente porque a API verifica se ele está logado, mas não valida se aquela fatura pertence a ele. Ou um analista consegue executar uma exclusão em massa porque o botão existe no HTML, mas o backend não checa se ele tem permissão de admin.

How to mitigate

Implemente verificações de autorização em toda operação sensível: antes de retornar dados, valide se o usuário autenticado tem acesso àquele recurso específico (RBAC, ABAC ou ACL). Teste permissões no backend sempre, nunca confie em controles apenas na UI.

CVE-2024-27930MEDIUMSensitive fields access through dropdowns in GLPIEPSS 1.1%CVE-2021-32620HIGHUsers registered with email verification can self re-activate their disabled accountsEPSS 1.1%CVE-2020-9048HIGHvictor Web Client - Arbitrary File Deletion VulnerabilityEPSS 1.1%CVE-2020-5318HIGHDell EMC Isilon OneFS versions 8.1.2, 8.1.0.4, 8.1.0.3, and 8.0.0.7 contain a vulnerability in some configurations. An attacker may exploit EPSS 1.1%CVE-2025-49701HIGHMicrosoft SharePoint Remote Code Execution VulnerabilityEPSS 1.1%CVE-2021-32619CRITICALStatic imports inside dynamically imported modules do not adhere to permission checksEPSS 1.1%CVE-2019-1851MEDIUMCisco Identity Services Engine Arbitrary Client Certificate Creation VulnerabilityEPSS 1.1%CVE-2024-43482MEDIUMMicrosoft Outlook for iOS Information Disclosure VulnerabilityEPSS 1.1%CVE-2019-14883LOWA vulnerability was found in Moodle 3.6 before 3.6.7 and 3.7 before 3.7.3, where tokens used to fetch inline atachments in email notificatioEPSS 1.1%CVE-2021-1576HIGHCisco Business Process Automation Privilege Escalation VulnerabilitiesEPSS 1.1%CVE-2021-35964HIGHLearningdigital.com, Inc. Orca HCM - Broken AuthenticationEPSS 1.1%CVE-2024-26291HIGHAuthenticated Arbitrary File Read affecting Avid NEXISEPSS 1.1%CVE-2022-38375HIGHAn improper authorization vulnerability [CWE-285]  in Fortinet FortiNAC version 9.4.0 through 9.4.1 and before 9.2.6 allows an unauthenticatEPSS 1.1%CVE-2020-36696HIGHProduct Input Fields for WooCommerce <= 1.2.6 - Missing AuthorizationEPSS 1.1%CVE-2023-30467HIGHImproper Authorization Vulnerability in Milesight Network Video Recorder (NVR)EPSS 1.1%CVE-2024-43729MEDIUMAdobe Experience Manager | Improper Authorization (CWE-285)EPSS 1.1%CVE-2017-1002151—Pagure 3.3.0 and earlier is vulnerable to loss of confidentially due to improper authorizationEPSS 1.1%CVE-2020-15087HIGHPrivilege escalation in PrestoEPSS 1.1%CVE-2019-6582—A vulnerability has been identified in Siveillance VMS 2017 R2 (All versions < V11.2a), Siveillance VMS 2018 R1 (All versions < V12.1a), SivEPSS 1.1%CVE-2020-15084HIGHAuthorization bypass in express-jwtEPSS 1.1%