Fallos del tipo CWE-285

1604 resultados

Falha ou verificação incorreta de autorização

O software não valida adequadamente se quem está tentando acessar um recurso ou executar uma ação tem permissão para isso. O controle de acesso pode estar ausente, mal implementado ou bypassável, permitindo que um usuário acesse dados ou execute operações que não deveria.

Ejemplo

Um sistema bancário que verifica se o usuário está autenticado (logado), mas não valida se ele pode transferir dinheiro da conta de outro cliente. Ou uma API que exibe dados sensíveis porque só checou autenticação, não autorização por perfil.

Cómo mitigar

Implemente controles de autorização em todas as operações sensíveis: verifique não só quem é o usuário, mas também se ele tem direito àquele recurso específico. Use padrões como RBAC (papéis) ou ABAC (atributos), e aplique a verificação no servidor, nunca confie no cliente.

CVE-2017-12160—It was found that Keycloak oauth would permit an authenticated resource to obtain an access/refresh token pair from the authentication serveEPSS 1.9%CVE-2020-3374CRITICALCisco SD-WAN vManage Software Authorization Bypass VulnerabilityEPSS 1.9%CVE-2018-0460—Cisco Enterprise NFV Infrastructure Software Information Disclosure VulnerabilityEPSS 1.9%CVE-2024-38231MEDIUMWindows Remote Desktop Licensing Service Denial of Service VulnerabilityEPSS 1.9%CVE-2018-15405—Cisco Integrated Management Controller Supervisor and Cisco UCS Director Authenticated Web Interface Information Disclosure VulnerabilityEPSS 1.8%CVE-2025-4210MEDIUMCasdoor SCIM User Creation Endpoint scim.go HandleScim authorizationEPSS 1.8%CVE-2021-21026MEDIUMMagento Commerce Incorrect permissions Could Lead To Unauthorized AccessEPSS 1.8%CVE-2025-21348HIGHMicrosoft SharePoint Server Remote Code Execution VulnerabilityEPSS 1.8%CVE-2021-36037MEDIUMMagento Commerce Improper Authorization Vulnerability Could Lead To Information ExposureEPSS 1.8%CVE-2018-0459—Cisco Enterprise NFV Infrastructure Software Denial of Service VulnerabilityEPSS 1.8%CVE-2021-1574HIGHCisco Business Process Automation Privilege Escalation VulnerabilitiesEPSS 1.7%CVE-2021-39317HIGHAccessPress Themes - Authenticated Malicious File UploadEPSS 1.7%CVE-2019-1863MEDIUMCisco Integrated Management Controller Privilege Escalation VulnerabilityEPSS 1.7%CVE-2021-27663HIGHCEM Systems AC2000EPSS 1.7%CVE-2023-32168HIGHD-Link D-View showUser Improper Authorization Privilege Escalation VulnerabilityEPSS 1.6%CVE-2020-24403LOWIncorrect permissions could lead to unauthorized modification of inventory source data via REST APIEPSS 1.6%CVE-2026-33186CRITICALgRPC-Go has an authorization bypass via missing leading slash in :pathEPSS 1.6%CVE-2016-9464—Nextcloud Server before 9.0.54 and 10.0.0 suffers from an improper authorization check on removing shares. The Sharing Backend as implementeEPSS 1.6%CVE-2020-24431MEDIUMAcrobat Reader DC for macOS Dynamic Library Injection VulnerabilityEPSS 1.6%CVE-2019-1934HIGHCisco Adaptive Security Appliance Software Web-Based Management Interface Privilege Escalation VulnerabilityEPSS 1.6%