Fallos del tipo CWE-638
1 resultadoVerificação incompleta de autorização
A aplicação não valida permissões em todos os pontos onde recursos sensíveis são acessados. O desenvolvedor pode verificar autorização em um endpoint público, mas não na API interna ou em ações indiretas que acionam o mesmo recurso. Isso permite que um atacante contorne a validação inicial e acesse dados ou funções que não deveria.
Um sistema verifica se o usuário é admin ao acessar /admin/users, mas não valida a mesma permissão na chamada AJAX interna /api/users/delete que a página usa. Um atacante pode disparar a requisição AJAX diretamente, contornando a proteção.
Implemente validação de autorização em cada ponto de acesso ao recurso sensível, não apenas na camada de apresentação. Use middleware ou frameworks que garantam que toda requisição passe pelo mesmo controle de acesso, independentemente da origem (web, API, interna).