L'autorizzazione impropria è una classe di vulnerabilità in cui un sistema non verifica se a un utente, servizio o richiesta sia consentito eseguire un'azione. Anziché applicare il controllo degli accessi lato server, l'applicazione può fidarsi dell'input del client, saltare i controlli dei ruoli su alcune route oppure presumere che una richiesta proveniente da un canale “privato” sia sicura. In pratica, questo può consentire a un utente con privilegi bassi di accedere a funzioni amministrative, leggere i dati di altri utenti o modificare impostazioni critiche per la sicurezza.
Questa falla è importante perché i confini di autorizzazione proteggono il piano di controllo di un sistema, non solo i suoi dati. Negli attacchi informatici, l'autorizzazione impropria trasforma spesso un semplice bug di accesso alle API in takeover dell'account, manomissione della configurazione o persino esecuzione remota di codice se l'azione protetta può influenzare codice, plugin o stato di distribuzione. Le difese includono il controllo degli accessi con negazione predefinita, verifiche coerenti lato server su ogni endpoint sensibile, autorizzazioni a livello di oggetto e test con account non attendibili o con privilegi bassi. I log di audit e le revisioni delle route aiutano a individuare i percorsi che aggirano l'applicazione normale delle policy.