CWE-863 è la classe di debolezza MITRE per l'autorizzazione errata. Descrive i casi in cui un'applicazione esegue effettivamente controlli di accesso, ma tali controlli sono sbagliati, incompleti o applicati nel punto sbagliato del flusso della richiesta. Il risultato è che un utente o una richiesta non autenticata può raggiungere azioni che avrebbero dovuto essere bloccate.
Questo è importante perché l'autorizzazione è il confine lato server che protegge le funzionalità di amministrazione, i dati dei clienti e i flussi di lavoro basati sui ruoli. Gli aggressori cercano controlli mancanti, autorizzazioni troppo ampie o difetti logici che consentano comunque l'esecuzione di funzioni protette. In pratica, CWE-863 compare spesso in applicazioni web, API e piattaforme di commercio elettronico in cui ruoli personalizzati, ACL o regole di business sono complessi. I difensori riducono il rischio imponendo controlli lato server con criterio deny-by-default, testando direttamente i percorsi privilegiati, rivedendo la logica di autorizzazione personalizzata e correggendo tempestivamente i componenti vulnerabili.