Falhas do tipo CWE-285

1.589 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2024-48921HIGHKyverno's PolicyException objects can be created in any namespace by defaultEPSS 0.6%CVE-2022-42961MEDIUMAn issue was discovered in wolfSSL before 5.5.0. A fault injection attack on RAM via Rowhammer leads to ECDSA key disclosure. Users performiEPSS 0.6%CVE-2024-47876HIGHSakai: Kernel users created with type roleview can login as a normal userEPSS 0.6%CVE-2025-4104CRITICALFrontend Dashboard 1.0 - 2.2.6 - Missing Authorization to Unauthenticated Privilege Escalation via fed_wp_ajax_fed_login_form_post FunctionEPSS 0.6%CVE-2024-13109MEDIUMBeijing Yunfan Internet Technology Yunfan Learning Examination System doc.html improper authorizationEPSS 0.6%CVE-2026-12770MEDIUMBerriAI litellm Admin Key key_management_endpoints.py improper authorizationEPSS 0.6%CVE-2024-25063HIGHDue to insufficient server-side validation, a successful exploit of this vulnerability could allow an attacker to gain access to certain URLEPSS 0.6%CVE-2024-11073MEDIUMSourceCodester Hospital Management System delete-account.php improper authorizationEPSS 0.6%CVE-2026-22022HIGHApache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPluginEPSS 0.6%CVE-2025-29926HIGHThe WikiManager REST API allows any user to create wikisEPSS 0.6%CVE-2023-1167MEDIUMImproper authorization in Gitlab EE affecting all versions from 12.3.0 before 15.8.5, all versions starting from 15.9 before 15.9.4, all verEPSS 0.6%CVE-2023-3037HIGHHelpDezk Community improper authorizationEPSS 0.6%CVE-2022-40208MEDIUMIn Moodle, insufficient limitations in some quiz web services made it possible for students to bypass sequential navigation during a quiz atEPSS 0.6%CVE-2026-58284HIGHMicrosoft Edge (Chromium-based) Remote Code Execution VulnerabilityEPSS 0.6%CVE-2024-7799MEDIUMSourceCodester Simple Online Bidding System users.php improper authorizationEPSS 0.6%CVE-2022-26773HIGHA logic issue was addressed with improved state management. This issue is fixed in iTunes 12.12.4 for Windows. An application may be able toEPSS 0.6%CVE-2023-2950MEDIUMImproper Authorization in openemr/openemrEPSS 0.6%CVE-2026-24305CRITICALAzure Entra ID Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2023-27594MEDIUMCilium vulnerable to potential network policy bypass when routing IPv6 traffic EPSS 0.6%CVE-2026-85878CRITICALAzure Database for PostgreSQL Elevation of Privilege VulnerabilityEPSS 0.5%