Weaknesses of type CWE-264

309 results

Controle de acesso e privilégios inadequado

A fraqueza ocorre quando a aplicação não valida corretamente quem pode fazer o quê, permitindo que usuários acessem recursos ou executem operações acima de seus privilégios. Isso acontece porque as verificações de autorização são ausentes, incompletas ou contornáveis, expondo dados sensíveis ou permitindo ações não autorizadas.

Example

Um usuário comum consegue listar ou modificar dados de outros usuários alterando um ID na URL (ex: /profile/123 → /profile/999) sem que o servidor valide se ele tem permissão para acessar aquele perfil. Ou um atacante executa ações administrativas porque a aplicação só verifica autenticação, não autorização.

How to mitigate

Implemente verificações de autorização em toda operação sensível: valide não apenas se o usuário está logado, mas se ele tem permissão específica para aquele recurso. Use listas de controle de acesso (ACL), roles bem definidas e princípio do menor privilégio. Teste sistematicamente tentativas de escalação e acesso lateral entre usuários.

CVE-2021-21436LOWAgent is able to link customer's Config Items without permissionEPSS 0.8%CVE-2022-41781MEDIUMWordPress Permalink Manager Lite plugin <= 2.2.20 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2023-3599MEDIUMSourceCodester Best Fee Management System Add User admin_class.php save_user access controlEPSS 0.7%CVE-2022-35238MEDIUMWordPress Awesome Filterable Portfolio plugin <= 1.9.7 - Unauthenticated Plugin Settings Change vulnerabilityEPSS 0.7%CVE-2023-20190MEDIUMA vulnerability in the classic access control list (ACL) compression feature of Cisco IOS XR Software could allow an unauthenticated, remoteEPSS 0.7%CVE-2019-14879MEDIUMA vulnerability was found in Moodle versions 3.7.x before 3.7.3, 3.6.x before 3.6.7 and 3.5.x before 3.5.9. When a cohort role assignment waEPSS 0.7%CVE-2022-45066MEDIUMWordPress WooSwipe WooCommerce Gallery plugin <= 2.0.1 - Auth. Broken Access Control vulnerabilityEPSS 0.7%CVE-2022-42461MEDIUMWordPress miniOrange's Google Authenticator plugin <= 5.6.1 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2022-35242MEDIUMWordPress THE Leads Management System: 59sec LITE plugin <= 3.4.1 - Unauthenticated plugin settings change vulnerabilityEPSS 0.7%CVE-2022-36246CRITICALShop Beat Services Vulnerable To Insecure PermissionsEPSS 0.7%CVE-2020-3485MEDIUMCisco Vision Dynamic Signage Director Role-Based Access Control VulnerabilityEPSS 0.7%CVE-2022-38067MEDIUMWordPress Event Calendar – Calendar plugin <= 1.4.6 - Unauthenticated Event Deletion vulnerabilityEPSS 0.7%CVE-2021-21437LOWConfig Items are shown to users without permissionEPSS 0.7%CVE-2022-38135MEDIUMWordPress Photospace Gallery plugin <= 2.3.5 - Broken Access Control vulnerabilityEPSS 0.7%CVE-2023-22633HIGHAn improper permissions, privileges, and access controls vulnerability [CWE-264] in FortiNAC-F 7.2.0, FortiNAC 9.4.1 and below, 9.2.6 and beEPSS 0.7%CVE-2022-38058MEDIUMWordPress WP Shamsi plugin <= 4.1.1 - Authenticated Plugin Setting change vulnerabilityEPSS 0.7%CVE-2025-5321MEDIUMaimhubio aim run_view Object query.py RestrictedPythonQuery privilege escalationEPSS 0.6%CVE-2019-6195MEDIUMAn authorization bypass exists in Lenovo XClarity Controller (XCC) versions prior to 3.08 CDI340V, 3.01 TEI392O, 1.71 PSI328N where a valid EPSS 0.6%CVE-2021-21438LOWFAQ articles are shown to users without permissionEPSS 0.6%CVE-2022-23731—V8 javascript engine (heap vulnerability) can cause privilege escalation ,which can impact on some webOS TV models.EPSS 0.6%