Falhas do tipo CWE-285

1.587 resultados

Falha na verificação de autorização

A aplicação não valida (ou valida incorretamente) se um usuário tem permissão para acessar um recurso ou executar uma ação. Um atacante contorna controles de acesso acessando dados, executando operações ou alterando funcionalidades que deveria estar restrito à sua role ou nível de privilégio.

Exemplo

Uma API de admin que exclui usuários verifica se o token é válido, mas nunca confirma se quem faz a requisição é realmente administrador. Um usuário comum envia a mesma requisição e consegue deletar contas — porque a autorização não foi checada.

Como mitigar

Implemente verificações de autorização em todo ponto de acesso sensível: valide permissões não só na camada de apresentação, mas no backend, consulte ACLs/roles antes de cada operação crítica e use frameworks de autorização testados. Nunca confie em verificações do lado do cliente.

CVE-2024-27930MEDIUMSensitive fields access through dropdowns in GLPIEPSS 1.1%CVE-2021-32620HIGHUsers registered with email verification can self re-activate their disabled accountsEPSS 1.1%CVE-2020-9048HIGHvictor Web Client - Arbitrary File Deletion VulnerabilityEPSS 1.1%CVE-2020-5318HIGHDell EMC Isilon OneFS versions 8.1.2, 8.1.0.4, 8.1.0.3, and 8.0.0.7 contain a vulnerability in some configurations. An attacker may exploit EPSS 1.1%CVE-2025-49701HIGHMicrosoft SharePoint Remote Code Execution VulnerabilityEPSS 1.1%CVE-2021-32619CRITICALStatic imports inside dynamically imported modules do not adhere to permission checksEPSS 1.1%CVE-2019-1851MEDIUMCisco Identity Services Engine Arbitrary Client Certificate Creation VulnerabilityEPSS 1.1%CVE-2024-43482MEDIUMMicrosoft Outlook for iOS Information Disclosure VulnerabilityEPSS 1.1%CVE-2019-14883LOWA vulnerability was found in Moodle 3.6 before 3.6.7 and 3.7 before 3.7.3, where tokens used to fetch inline atachments in email notificatioEPSS 1.1%CVE-2021-1576HIGHCisco Business Process Automation Privilege Escalation VulnerabilitiesEPSS 1.1%CVE-2021-35964HIGHLearningdigital.com, Inc. Orca HCM - Broken AuthenticationEPSS 1.1%CVE-2024-26291HIGHAuthenticated Arbitrary File Read affecting Avid NEXISEPSS 1.1%CVE-2022-38375HIGHAn improper authorization vulnerability [CWE-285]  in Fortinet FortiNAC version 9.4.0 through 9.4.1 and before 9.2.6 allows an unauthenticatEPSS 1.1%CVE-2020-36696HIGHProduct Input Fields for WooCommerce <= 1.2.6 - Missing AuthorizationEPSS 1.1%CVE-2023-30467HIGHImproper Authorization Vulnerability in Milesight Network Video Recorder (NVR)EPSS 1.1%CVE-2024-43729MEDIUMAdobe Experience Manager | Improper Authorization (CWE-285)EPSS 1.1%CVE-2017-1002151—Pagure 3.3.0 and earlier is vulnerable to loss of confidentially due to improper authorizationEPSS 1.1%CVE-2020-15087HIGHPrivilege escalation in PrestoEPSS 1.1%CVE-2019-6582—A vulnerability has been identified in Siveillance VMS 2017 R2 (All versions < V11.2a), Siveillance VMS 2018 R1 (All versions < V12.1a), SivEPSS 1.1%CVE-2020-15084HIGHAuthorization bypass in express-jwtEPSS 1.1%