Weaknesses of type CWE-1220

134 results

Controle de acesso com granularidade insuficiente

A aplicação implementa verificações de permissão muito genéricas, permitindo que um usuário autorizado para uma ação específica execute operações além do escopo pretendido. Por exemplo, um usuário com permissão de 'editar documentos' consegue editar *todos* os documentos, incluindo os de outros usuários ou áreas restritas. O risco é que privilégios amplos demais criam brechas para abuso, mesmo sem quebra autenticação.

Example

Um sistema de gestão de RH verifica se o usuário tem role 'gerente' antes de permitir visualizar salários, mas não valida se aquele gerente está autorizado apenas sobre sua equipe específica. Resultado: qualquer gerente vê salários de toda a empresa.

How to mitigate

Implemente verificações de acesso baseadas em contexto: valide não apenas *quem* está acessando, mas também *o quê* e *em qual escopo* (ex: um editor só modifica seus próprios documentos, um gerente só vê dados de sua filial). Use atributos ou políticas de acesso explícitas por recurso ou usuário.

CVE-2026-14613MEDIUMKeycloak-services: keycloak-services: keycloak: fgap v2 role groups endpoint discloses hidden group metadata without group view permissionEPSS 0.4%CVE-2026-16108MEDIUMKeycloak-services: keycloak-services: realm default-group reads disclose hidden groups under fgap v2EPSS 0.4%CVE-2026-37981MEDIUMKeycloak: org.keycloak.authorization: keycloak: information disclosure via broken access control in user lookup endpointEPSS 0.4%CVE-2026-78433MEDIUMGitea private attachment disclosure through repository mismatchEPSS 0.4%CVE-2024-6696MEDIUMHitachi Vantara Pentaho Business Analytics Server - Insufficient Granularity of Access ControlEPSS 0.4%CVE-2026-6388CRITICALArgocd-image-updater: argocd image updater: cross-namespace privilege escalation via insufficient namespace validationEPSS 0.4%CVE-2026-70218HIGHWindows StateRepository API Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2026-40690MEDIUMApache Airflow: Assets graph view bypasses DAG level access control displaying unrelated topologies and all DAGs names to unauthorized usersEPSS 0.4%CVE-2026-38743MEDIUMApache Airflow: Dags endpoint might provide access to otherwise inaccessible entitiesEPSS 0.4%CVE-2026-69267MEDIUMWindows Connected User Experiences and Telemetry Information Disclosure VulnerabilityEPSS 0.4%CVE-2025-2408MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2026-9088LOWKeycloak: keycloak: information disclosure due to user profile permission bypassEPSS 0.3%CVE-2026-41326HIGHKata Containers: CopyFile Policy Subversion via SymlinksEPSS 0.3%CVE-2026-56155HIGHActive Directory Federation Services Elevation of Privilege VulnerabilityEPSS 0.3%KEVCVE-2026-2651CRITICALMissing Authorization Validation in mlflow/mlflowEPSS 0.3%CVE-2026-70216MEDIUMWindows Mobile Device Management Tampering VulnerabilityEPSS 0.3%CVE-2023-32259MEDIUMPotential Insufficient Access Control vulnerability has been identified in OpenText™ SMAX/AMX products.EPSS 0.3%CVE-2026-83499HIGHWindows Server Update Service Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-81969HIGHWindows Server Update Service Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-92539MEDIUMCross-organization user modification and deletion via the SCIM API in Grafana EnterpriseEPSS 0.3%