Falhas do tipo CWE-285

1.605 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2025-10979MEDIUMJeecgBoot exportXls improper authorizationEPSS 0.4%CVE-2025-10981MEDIUMJeecgBoot exportXls improper authorizationEPSS 0.4%CVE-2026-12797MEDIUMBerriAI litellm Completions banned_keywords.py async_pre_call_hook authorizationEPSS 0.4%CVE-2025-28131MEDIUMA Broken Access Control vulnerability in Nagios Network Analyzer 2024R1.0.3 allows low-privilege users with "Read-Only" access to perform adEPSS 0.4%CVE-2025-10978MEDIUMJeecgBoot Filter exportXls improper authorizationEPSS 0.4%CVE-2026-7292MEDIUMo2oa NodeAgent NodeAgent.java syncFile improper authorizationEPSS 0.4%CVE-2022-40536HIGHImproper authentication in ModemEPSS 0.4%CVE-2026-16119MEDIUMnextlevelbuilder GoClaw WebSocket Approval Endpoint exec_approval.go RequestApproval authorizationEPSS 0.4%CVE-2026-14716MEDIUMnextlevelbuilder GoClaw WebSocket RPC router.go MethodRouter.Handle authorizationEPSS 0.4%CVE-2026-19994MEDIUMWebkul Bagisto Configuration Management execute authorizationEPSS 0.4%CVE-2026-18631MEDIUMjeequan jeepay PreAuthorize SysLogController.java WebSecurityConfig authorizationEPSS 0.4%CVE-2024-22021MEDIUMVulnerability CVE-2024-22021 allows a Veeam Recovery Orchestrator user with a low privileged role (Plan Author) to retrieve plans from a ScoEPSS 0.4%CVE-2025-10947MEDIUMSistemas Pleno Gestão de Locação CPF validarCpf authorizationEPSS 0.4%CVE-2025-10989MEDIUMyangzongzhuan RuoYi selectAll improper authorizationEPSS 0.4%CVE-2025-10707MEDIUMJeecgBoot sendMsg improper authorizationEPSS 0.4%CVE-2025-8547MEDIUMatjiu pybbs Email Verification improper authorizationEPSS 0.4%CVE-2016-7035HIGHAn authorization flaw was found in Pacemaker before 1.1.16, where it did not properly guard its IPC interface. An attacker with an unprivileEPSS 0.4%CVE-2026-32806HIGHdataCycle Authorization Bypass Via /remote_renderEPSS 0.4%CVE-2026-32807HIGHdataCycle Public DataLink Text File Download Ignores Validity And AuthorizationEPSS 0.4%CVE-2023-28325MEDIUMAn improper authorization vulnerability exists in Rocket.Chat <6.0 that could allow a hacker to manipulate the rid parameter and change the EPSS 0.4%