L'esposizione non autorizzata dei dati è un fallimento della riservatezza in cui informazioni sensibili diventano leggibili da un utente, servizio o attaccante che non dovrebbe avervi accesso. Il difetto spesso non riguarda i dati in sé, ma il controllo attorno ad essi: un controllo di autorizzazione danneggiato, un endpoint di esportazione configurato in modo errato, una risposta API non sicura o permessi eccessivamente ampi su backup, log o file nella cache.
Nelle attacchi reali, questo può far trapelare dettagli del profilo, messaggi privati, token, strumenti di moderazione o documenti interni. Anche senza esecuzione di codice, i dati esposti possono supportare il furto di account, il phishing, l'escalation dei privilegi o ulteriori intrusioni. I difensori riducono il rischio applicando controlli di accesso lato server, limitando ciò che ogni richiesta restituisce, filtrando i campi sensibili e testando i riferimenti a oggetti interrotti e i percorsi di divulgazione non intenzionale. La crittografia aiuta a proteggere i dati memorizzati, ma non sostituisce un'autorizzazione corretta.