L'aggiramento delle restrizioni è un guasto di controllo che consente a un utente di eludere una politica di sicurezza prevista. La politica può essere una regola di accesso, un limite di flusso di lavoro, un controllo sul tipo di file, un vincolo di funzionalità oppure un'azione sulla casella di posta che dovrebbe essere possibile solo per determinati utenti o condizioni. Il software continua a funzionare, ma non applica più il confine che i difensori si aspettavano.
Questo è importante perché molti attacchi non richiedono l'esecuzione diretta di codice se riescono a eludere le regole che proteggono dati e funzionalità. Nelle piattaforme di posta elettronica, un aggiramento può consentire a un attaccante di raggiungere impostazioni ristrette, accedere a messaggi che non dovrebbe vedere, attivare azioni al di fuori dei normali percorsi di approvazione o combinarsi con altri bug come XSS o SSRF per ampliare l'accesso. I difensori cercano una forte autorizzazione lato server, controlli coerenti su ogni percorso di richiesta e test che confermino che la policy resta valida anche quando gli input sono malformati o le funzionalità sono disabilitate. Un aggiramento è spesso il segno che la logica di sicurezza esiste, ma non ovunque dovrebbe esserci.