Questa vulnerabilità esiste quando un'operazione sensibile, come modificare impostazioni, avviare un servizio o eseguire un comando privilegiato, può essere raggiunta senza un controllo valido di accesso o autenticazione. L'applicazione può esporre la funzione tramite una richiesta web, una chiamata API o un'interfaccia del dispositivo, ma non riuscire a verificare che il chiamante sia autorizzato a استخدامها.
Nel cyber security, questo è pericoloso perché rimuove la normale barriera davanti ad azioni ad alto impatto. Gli aggressori possono abusarne per riconfigurare dispositivi, disabilitare protezioni, estrarre dati o innescare l'esecuzione di codice se la funzione controlla un'azione di backend rischiosa. I difensori cercano questo problema durante la revisione del codice, i test delle API e i controlli di accesso autenticato rispetto a non autenticato. Una buona protezione significa applicare l'autorizzazione su ogni percorso sensibile, non solo sull'interfaccia utente visibile. Sugli apparati di rete e sui pannelli di amministrazione, l'autenticazione mancante spesso trasforma un piccolo difetto di gestione in una via diretta verso sistemi fidati.