L'autorizzazione debole è un guasto del controllo in cui un sistema verifica l'accesso in modo troppo lasco, incoerente o solo dopo che una richiesta ha già raggiunto un'operazione sensibile. In pratica, l'applicazione può verificare che un utente abbia effettuato l'accesso, ma non riuscire a confermare che l'utente sia autorizzato a eseguire quella specifica azione su quell'oggetto o funzionalità specifici.
Nella sicurezza informatica, l'autorizzazione debole è pericolosa perché può consentire a un aggressore di trasformare un account normale in uno più potente. Gli effetti comuni includono l'escalation dei privilegi, l'accesso non autorizzato ai dati e l'abuso di azioni amministrative nelle app web, nelle API e nelle piattaforme enterprise. I difensori lo individuano testando i controlli di accesso a livello di oggetto e di funzione, convalidando i controlli di ruolo lato server e confermando che ogni azione sia applicata da una logica di autorizzazione esplicita invece che da restrizioni dell'interfaccia o da assunzioni di fiducia. Un'autorizzazione forte usa il principio del privilegio minimo, regole di negazione predefinita e una verifica ripetuta dei diritti dell'utente prima di ogni operazione sensibile.