Controle de acesso quebrado
O sistema confere que você entrou, mas não confere se você pode fazer aquela ação naquele recurso.
Todo sistema com contas faz duas perguntas diferentes. A primeira é autenticação: quem é você? (você entrou com senha, tem uma sessão). A segunda é autorização, ou controle de acesso: você PODE fazer isto? (ver este recibo, apagar este usuário, fechar a temporada). Elas são separadas, e a falha número um da lista OWASP (A01) é fazer a primeira e esquecer a segunda.
O sintoma aparece de muitas formas: um botão de admin escondido na tela, mas a rota por trás responde a qualquer um; uma página sem link que é servida a quem digita o endereço; um campo role que o formulário não mostra mas o servidor aceita; uma ação de admin que um membro comum alcança; o relatório de outra pessoa a um parâmetro de distância. Em todos, a raiz é a mesma: a decisão de "quem pode" não foi feita, ou foi feita no lugar errado (no navegador, numa regra de borda, num cabeçalho que o cliente controla).
A regra de ouro, que você vê no fim da trilha: negar por padrão e decidir no servidor, por recurso e por ação. Nunca confie no cliente para dizer quem ele é ou o que pode.