Weaknesses of type CWE-1220

134 results

Controle de acesso com granularidade insuficiente

A aplicação implementa verificações de permissão muito genéricas, permitindo que um usuário autorizado para uma ação específica execute operações além do escopo pretendido. Por exemplo, um usuário com permissão de 'editar documentos' consegue editar *todos* os documentos, incluindo os de outros usuários ou áreas restritas. O risco é que privilégios amplos demais criam brechas para abuso, mesmo sem quebra autenticação.

Example

Um sistema de gestão de RH verifica se o usuário tem role 'gerente' antes de permitir visualizar salários, mas não valida se aquele gerente está autorizado apenas sobre sua equipe específica. Resultado: qualquer gerente vê salários de toda a empresa.

How to mitigate

Implemente verificações de acesso baseadas em contexto: valide não apenas *quem* está acessando, mas também *o quê* e *em qual escopo* (ex: um editor só modifica seus próprios documentos, um gerente só vê dados de sua filial). Use atributos ou políticas de acesso explícitas por recurso ou usuário.

CVE-2025-54461MEDIUMChatLuck contains an insufficient granularity of access control vulnerability in Invitation of Guest Users. If exploited, an uninvited guestEPSS 0.3%CVE-2025-20111HIGHCisco Nexus 3000 and 9000 Series Switches Layer 2 Ethernet Denial of Service VulnerabilityEPSS 0.3%CVE-2026-111885HIGHphpMyFAQ 4.2.0-alpha before 4.2.0-beta Missing Authorization via deleteGroup APIEPSS 0.3%CVE-2024-11931MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.3%CVE-2025-1110LOWInsufficient Granularity of Access Control in GitLabEPSS 0.3%CVE-2025-5982LOWInsufficient Granularity of Access Control in GitLabEPSS 0.3%CVE-2026-104867MEDIUMImmich calendar heatmap endpoint discloses cross-user activity through broken access controlEPSS 0.3%CVE-2026-78122HIGHdocker-socket-proxy through 0.5.0 Insufficient Access Control Granularity Exposes Container FilesystemsEPSS 0.3%CVE-2025-20305MEDIUMA vulnerability in the web-based management interface of Cisco ISE could allow an authenticated, remote attacker to obtain sensitive informaEPSS 0.3%CVE-2026-48581HIGHSurface Broker SDMA Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-62721HIGHWindows User-Mode Power Service (UMPS) Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-50405HIGHWindows Filtering Platform Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-55006HIGHMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-49170HIGHWindows StateRepository API Server file Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-6356CRITICALCVE-2026-6356EPSS 0.3%CVE-2025-54518HIGHImproper isolation of shared resources within the CPU operation cache on Zen 2-based products could allow an attacker to corrupt instructionEPSS 0.3%CVE-2026-0873MEDIUMPrivilege Elevation in Ercom Cryptobox administration consoleEPSS 0.3%CVE-2025-2498LOWInsufficient Granularity of Access Control in GitLabEPSS 0.3%CVE-2025-8049LOWInsufficient Access Control vulnerability has been discovered in OpenText Flipper.EPSS 0.3%CVE-2024-12619MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.3%