Falhas do tipo CWE-285

1.587 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2023-41841HIGHAn improper authorization vulnerability in Fortinet FortiOS 7.0.0 - 7.0.11 and 7.2.0 - 7.2.4 allows an attacker belonging to the prof-admin EPSS 0.8%CVE-2021-25973MEDIUMPublify - Improper Authorization Leads to Guest Signup Restriction BypassEPSS 0.8%CVE-2024-7578MEDIUMAlien Technology ALR-F800 cmd.php improper authorizationEPSS 0.8%CVE-2021-28567MEDIUMMagento Commerce improper authorization allows an authenticated user to perform certain functions without permissionEPSS 0.8%CVE-2024-4819MEDIUMCampcodes Online Laundry Management System admin_class.php improper authorizationEPSS 0.8%CVE-2022-29234MEDIUMGrace period for lock settings in public/private chats in BigBlueButtonEPSS 0.8%CVE-2025-53792CRITICALAzure Portal Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2023-28634HIGHGLPI vulnerable to Privilege Escalation from Technician to Super-AdminEPSS 0.8%CVE-2018-14637MEDIUMThe SAML broker consumer endpoint in Keycloak before version 4.6.0.Final ignores expiration conditions on SAML assertions. An attacker can eEPSS 0.8%CVE-2021-28500CRITICALAn issue has recently been discovered in Arista EOS where the incorrect use of EOS's AAA API’s by the OpenConfig and TerminAttr agents could result in unrestricted access to the device for local users with nopassword configuration.EPSS 0.8%CVE-2020-26246HIGHAuthorization bypass in PimcoreEPSS 0.8%CVE-2020-3267MEDIUMCisco Unified Contact Center Express Improper API Authorization VulnerabilityEPSS 0.8%CVE-2018-12466MEDIUMopenbuildservice allowed deleting packages via project linksEPSS 0.8%CVE-2022-31167HIGHXWiki Platform Security Parent POM vulnerable to overwriting of security rules of a page with a final page having the same referenceEPSS 0.8%CVE-2022-2661CRITICALSequi PortBloque S Improper AuthorizationEPSS 0.8%CVE-2020-16096CRITICALIn Gallagher Command Centre versions 8.10 prior to 8.10.1134(MR4), 8.00 prior to 8.00.1161(MR5), 7.90 prior to 7.90.991(MR5), 7.80 prior to EPSS 0.8%CVE-2022-31168MEDIUMZulip Server insufficient authorization for changing bot rolesEPSS 0.8%CVE-2021-38486HIGHInHand Networks IR615 RouterEPSS 0.8%CVE-2024-32881CRITICALUnauthorized access to GET/SET of Slack Bot Tokens in DanswerEPSS 0.8%CVE-2026-34048CRITICALCoolify: Missing authorization on terminal websocket bootstrap routes allows low-privileged members to execute commands on team serversEPSS 0.8%