Weaknesses of type CWE-284

7,174 results

Controle de acesso inadequado a recursos

A aplicação falha em validar ou impõe regras insuficientes para determinar quem pode acessar um recurso (arquivo, API, dados, funcionalidade). Um usuário não autorizado consegue contornar essas restrições e acessar o que não deveria, seja por falta de autenticação, autorização fraca ou lógica de controle de acesso bugada.

Example

Um sistema de gestão de RH permite que qualquer funcionário logado acesse `/api/salarios/{id}` substituindo o ID na URL. Sem verificar se o usuário é gestor ou RH, a API retorna dados salariais de qualquer pessoa da empresa. Um dev junior consegue ver quanto ganha o CTO.

How to mitigate

Implemente verificação explícita de permissões antes de qualquer acesso: confirme autenticação (quem é), autorização (o que pode fazer) e aplique o princípio do menor privilégio. Use listas de controle de acesso (ACL), roles bem definidos e sempre valide no backend, nunca confie em dados do cliente.

CVE-2025-22426HIGHIn many functions of ComputerEngine.java, there is a possible way to access URIs across users due to a logic error in the code. This could lEPSS 0.1%CVE-2022-39884MEDIUMImproper access control vulnerability in IImsService prior to SMR Nov-2022 Release 1 allows local attacker to access to Call information.EPSS 0.1%CVE-2024-20036MEDIUMIn vdec, there is a possible permission bypass due to a permissions bypass. This could lead to local information disclosure with System execEPSS 0.1%CVE-2026-18462HIGHInteger Overflow or Wraparound, Improper Access Control vulnerability in RTI Connext Professional (Core Libraries) allows Shared Resource Manipulation.EPSS 0.1%CVE-2022-39887MEDIUMImproper access control vulnerability in clearAllGlobalProxy in MiscPolicy prior to SMR Nov-2022 Release 1 allows local attacker to configurEPSS 0.1%CVE-2025-27062HIGHImproper Access Control in Automotive MultimediaEPSS 0.1%CVE-2026-24509LOWDell Alienware Command Center (AWCC), versions prior to 6.12.24.0, contain an Improper Access Control vulnerability. A low privileged attackEPSS 0.1%CVE-2026-0108MEDIUMThe register protection of the PowerVR GPU is incorrectly configured. This could lead to local information disclosure with no additional exeEPSS 0.1%CVE-2024-34725HIGHIn DevmemIntUnexportCtx of devicemem_server.c, there is a possible arbitrary code execution due to a race condition. This could lead to locaEPSS 0.1%CVE-2026-108810MEDIUMtsi-coop tsi-dpdp-cms JSON Schema Validation information disclosureEPSS —CVE-2026-108578MEDIUMNeterbit NW-431F Embedded Web Server sms.json information disclosureEPSS —CVE-2026-108795MEDIUMZKTeco BioTime System Settings API systemSettings access controlEPSS —CVE-2026-108801MEDIUMprasathmani TinyFileManager tinyfilemanager.php move_uploaded_file unrestricted uploadEPSS —CVE-2026-108811MEDIUMWMCMS index.php information disclosureEPSS —