Weaknesses of type CWE-280

178 results

Tratamento inadequado de permissões ou privilégios insuficientes

Ocorre quando uma aplicação não valida ou não rejeita adequadamente requisições de usuários que carecem de permissões necessárias para executar uma ação. Em vez de negar o acesso, o sistema permite a operação, expõe informações sensíveis ou executa funções críticas sem verificar direitos. O risco é perda de confidencialidade, integridade ou disponibilidade dos dados.

Example

Uma API REST que deleta registros de usuários verifica apenas se o token JWT é válido, mas não confirma se o usuário autenticado tem permissão 'admin' para deletar. Qualquer usuário logado consegue remover dados de outros usuários ou do sistema.

How to mitigate

Implemente verificações de autorização granulares em cada endpoint ou função sensível, validando não apenas autenticação, mas o nível de privilégio necessário. Use o padrão de controle de acesso baseado em papéis (RBAC) ou atributos (ABAC) e teste permissões antes de executar operações críticas.

CVE-2025-62510HIGHFileRise insecure folder visibility via name-based mapping and incomplete ACL checksEPSS 0.3%CVE-2020-3427MEDIUMDuo Authentication for Windows Logon and RDP Privilege Escalation VulnerabilityEPSS 0.3%CVE-2025-62509HIGHFileRise improper ownership/permission validation allowed cross-tenant file operationsEPSS 0.3%CVE-2026-69907HIGHWindows Enterprise App Management Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2025-58410HIGHGPU DDK - Multiple calls into PhysmemGEMPrimeExport can inherit write access permission for an existing read-only dma_buf import PMREPSS 0.3%CVE-2026-1772MEDIUMRTU500 web interface: An unprivileged user can read user management information. The information cannot be accessed via the RTU500 web user EPSS 0.3%CVE-2024-4211LOWMultiple missing permission checksEPSS 0.3%CVE-2024-4692LOWMultiple missing permission checksEPSS 0.3%CVE-2024-6302HIGHImproper Handling of Insufficient Permissions or Privileges in ConduitEPSS 0.3%CVE-2025-62176MEDIUMMastadon streaming server allows OAuth clients without the `read` scope to subscribe to public channelsEPSS 0.3%CVE-2026-54262MEDIUMWagtail: Pages translations can be created without page permissions when using simple_translationEPSS 0.3%CVE-2026-54259MEDIUMWagtail: Improper restriction handling on Documents and Images chosen endpointsEPSS 0.3%CVE-2026-9792MEDIUMKeycloak: keycloak: security restriction bypass allows unauthorized ropc token acquisitionEPSS 0.3%CVE-2026-10549MEDIUMPrivilege escalation in Yandex DatabaseEPSS 0.3%CVE-2024-35301MEDIUMIn JetBrains TeamCity before 2024.03.1 commit status publisher didn't check project scope of the GitHub App tokenEPSS 0.3%CVE-2024-42194LOWHCL BigFix Inventory is affected by an access control vulnerabilityEPSS 0.3%CVE-2026-44201MEDIUMWagtail: Improper restriction handling on Documents and Images APIEPSS 0.3%CVE-2024-55604MEDIUMAppsmith's Broken Access Control Allows Viewer Role User to Query DatasourcesEPSS 0.3%CVE-2026-24096MEDIUMInsufficient permission validation on multiple REST API Quick Setup endpointsEPSS 0.2%CVE-2025-64997MEDIUMInsufficient permission validation when showing agent informationEPSS 0.2%