Weaknesses of type CWE-425

137 results

Falha em aplicar autorização em URLs, scripts ou arquivos restritos

A aplicação web não valida adequadamente se o usuário tem permissão para acessar determinadas URLs, scripts ou arquivos antes de entregar o conteúdo. Um invasor contorna a interface de autenticação acessando diretamente recursos protegidos via URL, explorando a ausência de verificação de autorização no servidor.

Example

Uma aplicação permite que qualquer usuário logado acesse /admin/relatorios/exportar.php digitando a URL diretamente, sem verificar se é administrador. Ou um PDF de contrato privado fica acessível em /uploads/contrato_123.pdf sem checagem de propriedade, permitindo download por qualquer pessoa que descubra o nome do arquivo.

How to mitigate

Implemente verificação de autorização em TODA rota/recurso sensível (não confie em obscuridade de URL): antes de servir o conteúdo, valide se o usuário logado tem a role/permissão necessária. Use middleware de autorização centralizado, whitelist de recursos públicos, e bloqueie por padrão.

CVE-2026-34051MEDIUMOpenEMR has Improper ACL On Import/Export PopupEPSS 0.2%CVE-2025-62778LOWFrappe Learning allowed students to access the Quiz Form via direct URLEPSS 0.2%CVE-2026-8205MEDIUMConcrete CMS 9.5.0 and below is vulnerable to authorization bypass in Calendar Block since action_get_events does not check canView on the calendarEPSS 0.2%CVE-2026-21760MEDIUMUnauthorized Access to Admin Functionality via Forced BrowsingEPSS 0.2%CVE-2026-32867MEDIUMOPEXUS eComplaint unauthenticated file uploadEPSS 0.2%CVE-2026-102584MEDIUMMoodle: missing capability check allows unauthorised grade penalty recalculationEPSS 0.2%CVE-2026-102582LOWMoodle: manual enrolment page accessible when plugin disabledEPSS 0.2%CVE-2025-65011HIGHUnauthorized Access to files in WODESYS WD-R608U routerEPSS 0.2%CVE-2026-100168—Apache OFBiz: Missing Authorization vulnerabilityEPSS 0.2%CVE-2026-114235—Apache OFBiz: Direct Request in Order Manager Enables Unauthorized Tracking Number ModificationEPSS 0.2%CVE-2026-109856—Apache OFBiz: Missing Authorization in Financial Account Services Enables Unauthorized Balance ManipulationEPSS 0.2%CVE-2025-15587HIGHCredentials exposure in tinycontrol devicesEPSS 0.2%CVE-2024-58343MEDIUMVision Helpdesk before 5.7.0 (patched in 5.6.10) allows attackers to read user profiles via modified serialized cookie data to vis_client_idEPSS 0.2%CVE-2026-105046MEDIUMKentico Xperience 13 before 13.0.216 lacks object-level authorization checks for administration API endpoints.EPSS 0.2%CVE-2026-105461—Apache OFBiz: Missing authorization in updateOrderItems allows view-only users to modify order prices and quantitiesEPSS 0.1%CVE-2026-105325—Apache OFBiz: Missing authorization in payment application services allows view-only users to modify payment allocationsEPSS 0.1%CVE-2025-31971MEDIUMAIML Solutions for HCL SX is susceptible to a URL validation vulnerabilityEPSS 0.1%