Falhas do tipo CWE-285

1.588 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2019-3641MEDIUMExploitation of Authorization in TIE ServerEPSS 0.7%CVE-2025-24053HIGHMicrosoft Dataverse Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2024-56320CRITICALGoCD vulnerable to admin privilege escalation by a malicious internal/existing authenticated userEPSS 0.7%CVE-2025-2345CRITICALIROAD Dash Cam X5/Dash Cam X6 improper authorizationEPSS 0.7%CVE-2022-4688HIGHImproper Authorization in usememos/memosEPSS 0.7%CVE-2022-0821HIGHImproper Authorization in orchardcms/orchardcoreEPSS 0.7%CVE-2024-47053HIGHImproper Authorization in Reporting APIEPSS 0.7%CVE-2025-59100MEDIUMUnauthenticated Access to the SQLite Database in dormakaba access managerEPSS 0.7%CVE-2026-62835CRITICALAzure Portal Information Disclosure VulnerabilityEPSS 0.7%CVE-2024-30260LOWUndici's Proxy-Authorization header not cleared on cross-origin redirect for dispatch, request, stream, pipelineEPSS 0.7%CVE-2025-4631CRITICALProfitori 2.0.6.0 - 2.1.1.3 - Missing Authorization to Unauthenticated Privilege Escalation via stocktend_object EndpointEPSS 0.7%CVE-2025-5511MEDIUMquequnlong shiyi-blog photos improper authorizationEPSS 0.7%CVE-2025-49746CRITICALAzure Machine Learning Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2020-9061—Z-Wave devices using Silicon Labs 500 and 700 series chipsets, including but not likely limited to the SiLabs UZB-7 version 7.00, ZooZ ZST10EPSS 0.7%CVE-2015-10033LOWjvvlee MerlinsBoard Grade improper authorizationEPSS 0.7%CVE-2022-39340MEDIUMOpenFGA Information DisclosureEPSS 0.7%CVE-2024-21166MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.36 and prior anEPSS 0.7%CVE-2017-0895—Nextcloud Server before 10.0.4 and 11.0.2 are vulnerable to disclosure of calendar and addressbook names to other logged-in users. Note thatEPSS 0.7%CVE-2022-33712—Intent redirection vulnerability using implict intent in Camera prior to versions 12.0.01.64 ,12.0.3.23, 12.0.0.98, 12.0.6.11, 12.0.3.19 in EPSS 0.7%CVE-2024-12782MEDIUMFujifilm Business Innovation Apeos C3070/Apeos C5570/Apeos C6580 Web Interface index.html#hashHome improper authorizationEPSS 0.7%