Falhas do tipo CWE-285

1.588 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2026-5246MEDIUMCesanta Mongoose P-384 Public Key mongoose.c mg_tls_verify_cert_signature authorizationEPSS 0.6%CVE-2025-1607MEDIUMSourceCodester Best Employee Management System salary_slip.php authorizationEPSS 0.6%CVE-2021-33723—A vulnerability has been identified in SINEC NMS (All versions < V1.0 SP2 Update 1). An authenticated attacker could change the user profileEPSS 0.6%CVE-2025-21275HIGHWindows App Package Installer Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2024-12347MEDIUMGuangzhou Huayi Intelligent Technology Jeewms Druid Monitoring Interface index.html improper authorizationEPSS 0.6%CVE-2026-55077HIGHCoder: User-admin role can reset owner account passwordEPSS 0.6%CVE-2022-36453HIGHA vulnerability in the MiCollab Client API of Mitel MiCollab 9.1.3 through 9.5.0.101 could allow an authenticated attacker to modify their pEPSS 0.6%CVE-2024-12901MEDIUMFoxCMS API Endpoint Site.php improper authorizationEPSS 0.6%CVE-2022-2901HIGHImproper Authorization in chatwoot/chatwootEPSS 0.6%CVE-2024-2441HIGHVikBooking < 1.6.8 - Insecure Direct Object ReferencesEPSS 0.6%CVE-2019-25149HIGHGallery Images Ape <= 2.0.6 - Authenticated Plugin DeactivationEPSS 0.6%CVE-2022-27583CRITICALA remote unprivileged attacker can interact with the configuration interface of a Flexi-Compact FLX3-CPUC1 or FLX3-CPUC2 running an affectedEPSS 0.6%CVE-2025-2114MEDIUMShenzhen Sixun Software Sixun Shanghui Group Business Management System Reset Password Interface OperatorStop.asp improper authorizationEPSS 0.6%CVE-2022-39356HIGHDiscourse user account takeover via email and invite linkEPSS 0.6%CVE-2024-37282HIGHIt was identified that under certain specific preconditions, an API key that was originally created with a specific privileges could be subsEPSS 0.6%CVE-2017-9268MEDIUMopen-build-service retrigger / wipebinaries hitting the wrong project bypassing access permissionsEPSS 0.6%CVE-2022-47409CRITICALAn issue was discovered in the fp_newsletter (aka Newsletter subscriber management) extension before 1.1.1, 1.2.0, 2.x before 2.1.2, 2.2.1 tEPSS 0.6%CVE-2024-13694HIGHWooCommerce Wishlist <= 1.8.7 - Unauthenticated Wishlist Disclosure via download_pdf_file FunctionEPSS 0.6%CVE-2024-7851MEDIUMSourceCodester Yoga Class Registration System Add User Users.php improper authorizationEPSS 0.6%CVE-2023-22348MEDIUMReading host_configs does not honour contact groupsEPSS 0.6%