Fallos del tipo CWE-285

1609 resultados

Falha ou verificação incorreta de autorização

O software não valida adequadamente se quem está tentando acessar um recurso ou executar uma ação tem permissão para isso. O controle de acesso pode estar ausente, mal implementado ou bypassável, permitindo que um usuário acesse dados ou execute operações que não deveria.

Ejemplo

Um sistema bancário que verifica se o usuário está autenticado (logado), mas não valida se ele pode transferir dinheiro da conta de outro cliente. Ou uma API que exibe dados sensíveis porque só checou autenticação, não autorização por perfil.

Cómo mitigar

Implemente controles de autorização em todas as operações sensíveis: verifique não só quem é o usuário, mas também se ele tem direito àquele recurso específico. Use padrões como RBAC (papéis) ou ABAC (atributos), e aplique a verificação no servidor, nunca confie no cliente.

CVE-2023-38135MEDIUMImproper authorization in some Intel(R) PM software may allow a privileged user to potentially enable escalation of privilege via local acceEPSS 0.2%CVE-2024-42039MEDIUMAccess control vulnerability in the SystemUI module Impact: Successful exploitation of this vulnerability may affect service confidentialityEPSS 0.2%CVE-2026-10693MEDIUMSourceCodester Online Boat Reservation System Administrative Endpoint improper authorizationEPSS 0.2%CVE-2026-11441MEDIUMtheonedev Pull Request issues canAccessIssue improper authorizationEPSS 0.2%CVE-2026-11336MEDIUMtittuvarghese CollegeManagementSystem Admin admin_page.php improper authorizationEPSS 0.2%CVE-2026-11439MEDIUMtheonedev Parent Project projects improper authorizationEPSS 0.2%CVE-2026-45337HIGHBetter Auth: Device authorization approve and deny accept any authenticated session while the user code is pendingEPSS 0.2%CVE-2026-11438MEDIUMtheonedev projects improper authorizationEPSS 0.2%CVE-2026-11440MEDIUMtheonedev REST API default-branch improper authorizationEPSS 0.2%CVE-2021-25381MEDIUMUsing unsafe PendingIntent in Samsung Account in versions 10.8.0.4 in Android P(9.0) and below, and 12.1.1.3 in Android Q(10.0) and above alEPSS 0.2%CVE-2021-25355MEDIUMUsing unsafe PendingIntent in Samsung Notes prior to version 4.2.00.22 allows local attackers unauthorized action without permission via hijEPSS 0.2%CVE-2021-25373MEDIUMUsing unsafe PendingIntent in Customization Service prior to version 2.2.02.1 in Android O(8.x), 2.4.03.0 in Android P(9.0), 2.7.02.1 in AndEPSS 0.2%CVE-2020-36841MEDIUMWooCommerce Smart Coupons <= 4.6.0 - Unauthenticated Coupon CreationEPSS 0.2%CVE-2021-25353MEDIUMUsing empty PendingIntent in Galaxy Themes prior to version 5.2.00.1215 allows local attackers to read/write private file directories of GalEPSS 0.2%CVE-2025-67259MEDIUMA Broken Access Control vulnerability exists in ClassroomIO v0.1.13 where an authenticated low-privileged "student" user can access unauthorEPSS 0.2%CVE-2024-0077HIGHCVEEPSS 0.2%CVE-2025-59686MEDIUMKazaar 1.25.12 allows /api/v1/org-id/orders/order-id/documents calls with a modified order-id.EPSS 0.2%CVE-2026-10212MEDIUMAstrBotDevs AstrBot astr_main_agent.py astr_main_agent authorizationEPSS 0.2%CVE-2021-25521MEDIUMInsecure caller check in sharevia deeplink logic prior to Samsung Internet 16.0.2 allows unstrusted applications to get current tab URL in SEPSS 0.2%CVE-2026-11476MEDIUMKushan2k student-management-system Profile Update Endpoint AdminController.php edit-admin improper authorizationEPSS 0.2%