Weaknesses of type CWE-1220

134 results

Controle de acesso com granularidade insuficiente

A aplicação implementa verificações de permissão muito genéricas, permitindo que um usuário autorizado para uma ação específica execute operações além do escopo pretendido. Por exemplo, um usuário com permissão de 'editar documentos' consegue editar *todos* os documentos, incluindo os de outros usuários ou áreas restritas. O risco é que privilégios amplos demais criam brechas para abuso, mesmo sem quebra autenticação.

Example

Um sistema de gestão de RH verifica se o usuário tem role 'gerente' antes de permitir visualizar salários, mas não valida se aquele gerente está autorizado apenas sobre sua equipe específica. Resultado: qualquer gerente vê salários de toda a empresa.

How to mitigate

Implemente verificações de acesso baseadas em contexto: valide não apenas *quem* está acessando, mas também *o quê* e *em qual escopo* (ex: um editor só modifica seus próprios documentos, um gerente só vê dados de sua filial). Use atributos ou políticas de acesso explícitas por recurso ou usuário.

CVE-2026-93294MEDIUMAzure Monitor data source resource proxy allows calls to arbitrary Azure Resource Manager APIsEPSS 0.3%CVE-2025-8053LOWInsufficient access control vulnerability has been discovered in Opentext Flipper.EPSS 0.3%CVE-2024-13272MEDIUMParagraphs table - Critical - Access bypass, Information Disclosure - SA-CONTRIB-2024-036EPSS 0.3%CVE-2026-96372MEDIUMWebform - Moderately critical - Access bypass - SA-CONTRIB-2026-167EPSS 0.2%CVE-2026-103509HIGHCredential Disclosure in P4 Search Configuration APIEPSS 0.2%CVE-2025-20628MEDIUMInsufficient granularity of access control for Remote Connector Servers in client modeEPSS 0.2%CVE-2023-44285HIGH Dell PowerProtect DD, versions prior to 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15, 6.2.1.110 contain an improper access control vulnerability.EPSS 0.2%CVE-2026-14210MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.2%CVE-2026-35436HIGHMicrosoft Office Click-To-Run Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2024-39279MEDIUMInsufficient granularity of access control in UEFI firmware in some Intel(R) processors may allow a authenticated user to potentially enableEPSS 0.2%CVE-2024-52799HIGHArgo Workflows Chart: Excessive Privileges in Workflow RoleEPSS 0.2%CVE-2023-6725MEDIUMTripleo-ansible: bind keys are world readableEPSS 0.2%CVE-2025-22839HIGHInsufficient granularity of access control in the OOB-MSM for some Intel(R) Xeon(R) 6 Scalable processors may allow a privileged user to potEPSS 0.2%CVE-2026-119627MEDIUMGitea limited-visibility profile disclosure with public-only tokensEPSS 0.2%CVE-2023-45217HIGHImproper access control in Intel(R) Power Gadget software for Windows all versions may allow an authenticated user to potentially enable escEPSS 0.2%CVE-2023-40070HIGHImproper access control in some Intel(R) Power Gadget software for macOS all versions may allow an authenticated user to potentially enable EPSS 0.2%CVE-2023-31343HIGHImproper input validation in the SMM handler may allow a privileged attacker to overwrite SMRAM, potentially leading to arbitrary code execuEPSS 0.2%CVE-2023-31342HIGHImproper input validation in the SMM handler may allow a privileged attacker to overwrite SMRAM, potentially leading to arbitrary code execuEPSS 0.2%CVE-2024-52814LOWHelm Lacks Granularity in Workflow RoleEPSS 0.2%CVE-2025-35998HIGHMissing protection mechanism for alternate hardware interface in the Intel(R) Quick Assist Technology for some Intel(R) Platforms within RinEPSS 0.2%