Falhas do tipo CWE-285

1.587 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2020-15084HIGHAuthorization bypass in express-jwtEPSS 1.1%CVE-2018-14666MEDIUMAn improper authorization flaw was found in the Smart Class feature of Foreman. An attacker can use it to change configuration of any host rEPSS 1.0%CVE-2025-30392CRITICALAzure AI Bot Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2021-21511HIGHDell EMC Avamar Server, versions 19.3 and 19.4 contain an Improper Authorization vulnerability in the web UI. A remote low privileged attackEPSS 1.0%CVE-2020-2050HIGHPAN-OS: Authentication bypass vulnerability in GlobalProtect SSL VPN client certificate verificationEPSS 1.0%CVE-2021-41564MEDIUMTad Honor - Improper AuthorizationEPSS 1.0%CVE-2021-41976MEDIUMTad Uploader - Improper AuthorizationEPSS 1.0%CVE-2022-1224MEDIUMImproper Authorization in phpipam/phpipamEPSS 1.0%CVE-2026-27823HIGHRemote Code Execution Vulnerability in EGroupwareEPSS 1.0%CVE-2021-41568MEDIUMTad Web - Improper AuthorizationEPSS 1.0%CVE-2019-3849MEDIUMA vulnerability was found in moodle before versions 3.6.3, 3.5.5 and 3.4.8. Users could assign themselves an escalated role within courses oEPSS 1.0%CVE-2023-33142MEDIUMMicrosoft SharePoint Server Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2019-12635MEDIUMCisco Content Security Management Appliance Information Disclosure VulnerabilityEPSS 1.0%CVE-2020-6311MEDIUMBanking services from SAP 9.0 (Bank Analyzer), version - 500, and SAP S/4HANA for financial products subledger, version � 100, does not corrEPSS 1.0%CVE-2022-0587HIGHImproper Authorization in librenms/librenmsEPSS 1.0%CVE-2024-2557MEDIUMkishor-23 Food Waste Management System admin.php improper authorizationEPSS 1.0%CVE-2026-48579CRITICALMicrosoft Exchange Online Information Disclosure VulnerabilityEPSS 1.0%CVE-2021-41308—Affected versions of Atlassian Jira Server and Data Center allow authenticated yet non-administrator remote attackers to edit the File RepliEPSS 1.0%CVE-2022-29233MEDIUMImproper access control for breakout rooms in BigBlue ButtonEPSS 1.0%CVE-2021-22863—Improper access control in GitHub Enterprise Server leading to unauthorized changes to maintainer permissions on pull requestsEPSS 1.0%