Weaknesses of type CWE-280

170 results

Tratamento inadequado de permissões ou privilégios insuficientes

Ocorre quando uma aplicação não valida ou não rejeita adequadamente requisições de usuários que carecem de permissões necessárias para executar uma ação. Em vez de negar o acesso, o sistema permite a operação, expõe informações sensíveis ou executa funções críticas sem verificar direitos. O risco é perda de confidencialidade, integridade ou disponibilidade dos dados.

Example

Uma API REST que deleta registros de usuários verifica apenas se o token JWT é válido, mas não confirma se o usuário autenticado tem permissão 'admin' para deletar. Qualquer usuário logado consegue remover dados de outros usuários ou do sistema.

How to mitigate

Implemente verificações de autorização granulares em cada endpoint ou função sensível, validando não apenas autenticação, mas o nível de privilégio necessário. Use o padrão de controle de acesso baseado em papéis (RBAC) ou atributos (ABAC) e teste permissões antes de executar operações críticas.

CVE-2026-59567HIGHLocal privilege escalationEPSS 0.1%CVE-2026-2123HIGHPrivilege escalation vulnerability in Operations AgentEPSS 0.1%CVE-2026-21733HIGHGPU DDK - Incorrect flags validation in RGXDerivePTEProt8 can allow GPU to overwrite read-only shared memory (e.g. libc.so)EPSS 0.1%CVE-2026-23857HIGHDell Update Package (DUP) Framework, versions 23.12.00 through 24.12.00, contains an Improper Handling of Insufficient Permissions or PrivilEPSS 0.1%CVE-2026-21099MEDIUMImproper access control in SettingsProvider prior to SMR Sep-2026 Release 1 allows local attackers to access sensitive information.EPSS 0.1%CVE-2024-23704HIGHIn onCreate of WifiDialogActivity.java, there is a possible way to bypass the DISALLOW_ADD_WIFI_CONFIG restriction due to a missing permissiEPSS 0.1%CVE-2022-30727MEDIUMImproper handling of insufficient permissions vulnerability in addAppPackageNameToAllowList in PersonaManagerService prior to SMR Jun-2022 REPSS 0.1%CVE-2022-39885MEDIUMImproper access control vulnerability in BootCompletedReceiver_CMCC in DeviceManagement prior to SMR Nov-2022 Release 1 allows local attackeEPSS 0.1%CVE-2022-39886MEDIUMImproper access control vulnerability in IpcRxServiceModeBigDataInfo in RIL prior to SMR Nov-2022 Release 1 allows local attacker to access EPSS 0.1%CVE-2026-96872LOWWikiLambda public function execution bypasses the unsaved-code permission through nested Z825 compositionsEPSS —