CWE-285
MITRE Некорректная авторизация
Improper Authorization
CWE-285 — некорректная авторизация: программа не выполняет проверку прав или проверяет их неверно при доступе к ресурсу. Типичный сценарий — веб-приложение сверяет роль в интерфейсе, а прямой вызов API или чтение чужой записи проходит без проверки на сервере. Злоумышленник получает чужие записи и недоступные функции, расширяя круг своих полномочий.
Как защититься от CWE-285
Чтобы защититься от CWE-285, выполняйте проверку прав на сервере при каждом обращении к странице и к каждому объекту, а не только в интерфейсе. Применяйте ролевое управление доступом (RBAC) и сверяйте роль с функциями и данными на границах доверия. Опишите списки доступа с политикой «запрет по умолчанию» и добавьте отдельные проверки для бизнес-логики, недоступные через общие права.
Уязвимости с типом CWE-285 (50)
В
8.9Уязвимость функции kubernetesSsoSettingsApi платформы для мониторинга и наблюдения Grafana, позволяющая нарушителю оказа2026-10-27 В
9.0Уязвимость реализации протокола Apache JServ программного обеспечения администрирования сети Cisco Secure Firewall Manag2026-09-16 В
8.8Уязвимость компонента Cellular Modem операционной системы Andorid телефонов Pixel, позволяющая нарушителю обойти существ2026-09-15 В
8.1Уязвимость сервера приложений Apache Tomcat, связанная с недостатками процедуры авторизации, позволяющая нарушителю оказ2026-08-25 В
10.0Уязвимость модулей os и dns библиотеки vm2 пакетного менеджера NPM, позволяющая нарушителю оказать воздействие на конфид2026-08-14 Н
5.6Уязвимость микроархитектуры процессоров AMD Zen, связанная с недостатками процедуры авторизации, позволяющая нарушителю 2026-08-11 В
9.3Уязвимость среды разработки приложений Microsoft Power Apps, связанная с неправильной авторизацией, позволяющая нарушите2026-08-06 С
7.4Уязвимость команд cosign verify-blob и cosign verify-blob-attestation инструмента для цифровой подписи Sigstore Cosign, 2026-08-06 В
8.8Уязвимость компонента Enterprise Config Management программной платформы Oracle Enterprise Manager Base Platform, позвол2026-07-21 В
9.1Уязвимость программного обеспечения для безопасного обмена и передачи файлов SolarWinds Serv-U, связанная с недостатками2026-07-21 В
8.8Уязвимость компонента Metadata Plugin программной платформы Oracle Enterprise Manager Base Platform, позволяющая нарушит2026-07-21 В
8.8Уязвимость службы Active Directory Certificate Services операционных систем Windows, позволяющая нарушителю повысить сво2026-07-14 В
8.8Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с недостатками процеду2026-07-14 В
8.7Уязвимость пользовательского интерфейса Nginx UI сервера nginx, связанная с недостатками процедуры авторизации, позволяю2026-07-03 В
8.2Уязвимость программного обеспечения TrueConf Server, связанная с недостатками процедуры авторизации, позволяющая нарушит2026-07-02 С
6.8Уязвимость системных вызовов unlinkat и funlinkat ядра операционных систем FreeBSD, позволяющая нарушителю оказать возде2026-06-30 С
6.5Уязвимость сервера приложений Apache Tomcat, связанная с недостатками процедуры авторизации, позволяющая нарушителю полу2026-06-29 В
7.5Уязвимость платформы управления политиками соединений Cisco Identity Services Engine (ISE) и виртуального устройства сбо2026-06-17 С
5.5Уязвимость функции ocfs2_dio_end_io_write() компонента fs/ocfs2/aops.c ядра операционной системы Linux, позволяющая нару2026-06-12 В
8.1Уязвимость почтового сервера Microsoft Exchange Server, связанная с ошибками авторизации, позволяющая нарушителю раскрыт2026-06-09 С
7.8Уязвимость программной платформы .NET, связанная с ошибками авторизации, позволяющая нарушителю повысить свои привилегии2026-06-09 С
7.8Уязвимость набора системных утилит Microsoft PowerToys, связанная с ошибками авторизации, позволяющая нарушителю повысит2026-06-09 В
8.0Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с недостатками процеду2026-06-09 В
9.1Уязвимость облачной службы корпоративной почты Microsoft Exchange Online, связанная с недостатками процедуры авторизации2026-06-04 С
4.3Уязвимость реальзиации механизма авторизации API CONSUMER_GROUP_DESCRIBE диспетчера сообщений Apache Kafka, позволяющая 2026-06-02 С
4.3Уязвимость программных продуктов Apache ActiveMQ, связанная с недостатками процедуры авторизации, позволяющая нарушителю2026-06-01 В
9.1Уязвимость сервера приложений Apache Tomcat, связанная c недостатками процедуры авторизации, позволяющая нарушителю полу2026-05-12 С
4.3Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source, Adobe Commerce и Adob2026-05-12 С
6.5Уязвимость веб-интерфейса на базе искуственного интеллекта Open WebUI, связанная с недостатками процедуры авторизации, п2026-05-10 В
9.6Уязвимость корпоративной платформы Microsoft Teams, связанная с недостатками процедуры авторизации, позволяющая нарушите2026-05-07 К
9.8Уязвимость функций dvcman_call_on_receive() и dvcman_channel_close() файла channels/drdynvc/client/drdynvc_main.c RDP-кл2026-05-04 В
7.5Уязвимость парсера NDR RDPEAR RDP-клиента FreeRDP, позволяющая нарушителю получить несанкционированный доступ к защищаем2026-05-04 С
5.5Уязвимость функции kvm_hv_flush_tlb() модуля arch/x86/kvm/hyperv.c подсистемы виртуализации на платформе x86 ядра операц2026-05-03 В
8.3Уязвимость функции match_policy_in() модуля net/netfilter/xt_policy.c компонента netfilter ядра операционной системы Lin2026-04-24 В
7.5Уязвимость компонента User Interface прораммного средства автоматизации процесса проверки клиентов финансовых организаци2026-04-21 В
8.0Уязвимость реализации протокола Kerberos операционных систем Windows, позволяющая нарушителю повысить свои привилегии2026-04-14 К
9.8Уязвимость функции biovec_phys_mergeable() модуля block/blk.h ядра операционной системы Linux, позволяющая нарушителю ок2026-04-10 С
6.4Уязвимость функции bpf_tracing_prog_attach() модуля kernel/bpf/syscall.c поддержки интерпретатора BPF ядра операционной 2026-04-02 С
5.4Уязвимость веб-интерфейса на базе искуственного интеллекта Open WebUI, связанная с недостатками процедуры авторизации, п2026-03-26 С
4.3Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с недостатками процедуры авторизации, позволяющая н2026-03-26 В
9.1Уязвимость реализации протокола HTTP/2 языка программирования Go, позволяющая нарушителю обойти существующие механизмы б2026-03-20 В
6.5Уязвимость компонента ANGLE веб-браузера Google Chrome, позволяющая нарушителю получить доступ к конфиденциальным данным2026-03-12 Н
3.3Уязвимость браузера Safari операционных систем iOS, iPadOS, macOS, связанная с неправильной авторизацией, позволяющая на2026-02-11 В
9.1Уязвимость функции isAccessAllowed() программного средства управления и запуска OCI-контейнеров Podman, позволяющая нару2026-01-28 В
9.3Уязвимость облачной платформы для управления и защиты идентификационных данных Microsoft Entra ID (ранее Azure Active Di2026-01-22 В
8.2Уязвимость плагина Rule Based Authorization Plugin поискового сервера Apache Solr, позволяющая нарушителю отправлять про2026-01-20 С
5.0Уязвимость средства регистрации посылок и отправлений Incoming Goods Suite, связанная с неправильной авторизацией, позво2026-01-15 Н
4.8Уязвимость функции futimes() программной платформы Node.js, позволяющая нарушителю получить доступ на изменение файлов2026-01-13 К
9.8Уязвимость микропрограммного обеспечения семейства интегральных схем Qualcomm QSC, связанная с недостатками процедуры ав2026-01-09 С
4.3Уязвимость сервиса визуализации данных Kibana, связанная с ошибками авторизации, позволяющая нарушителю повысить привиле2025-12-19Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-285 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
