Una vulnerabilità delle autorizzazioni è un difetto nel controllo degli accessi in cui un sistema concede agli utenti più dati o più azioni di quanto il loro ruolo dovrebbe consentire. Il problema di solito non è il protocollo in sé, ma i controlli di autorizzazione che gli ruotano intorno: chi possiede un oggetto, a quale tenant appartiene e se chi effettua la richiesta è autorizzato a leggerlo o modificarlo.
Questi bug sono importanti perché possono rompere l'isolamento tra tenant ed esporre informazioni sensibili senza richiedere un compromesso completo del sistema. Nei servizi condivisi, un utente locale o con privilegi bassi può riuscire ad accedere ai calendari, ai contatti, ai file o ai messaggi di un altro account se i controlli di autorizzazione a livello di oggetto mancano o vengono applicati in modo incoerente. I difensori individuano questa classe di problema testando letture e scritture non autorizzate tra account, esaminando come le identità si mappano alle risorse e verificando che le correzioni ripuliscano anche i dati esistenti. Negli attacchi, l'impatto è spesso silenzioso ma grave: i dati riservati fuoriescono anche quando l'attaccante non ottiene mai privilegi amministrativi.