Fallos del tipo CWE-1220

115 resultados

Controle de acesso com granularidade insuficiente

A aplicação implementa controle de acesso, mas em nível muito grosseiro — por exemplo, libera acesso a um módulo inteiro quando deveria controlar operações específicas dentro dele. Assim, um usuário autorizado a ler dados consegue também deletá-los ou modificá-los, ampliando indevidamente suas permissões.

Ejemplo

Um painel administrativo verifica se o usuário é 'gerente', mas não valida se esse gerente pode apagar usuários específicos ou apenas consultá-los. O atacante autenticado como gerente executa operações não permitidas porque a verificação foi feita só no acesso ao módulo, não em cada ação.

Cómo mitigar

Implemente controle de acesso por atributo ou papel (RBAC/ABAC) que valide permissões em cada operação sensível, não apenas na entrada do módulo. Use listas de controle de acesso (ACL) específicas para cada recurso e ação (criar, ler, atualizar, deletar).

CVE-2024-26246LOWMicrosoft Edge (Chromium-based) Security Feature Bypass VulnerabilityEPSS 0.6%CVE-2022-2475CRITICALHaas Controller version 100.20.000.1110 has insufficient granularity of access control when using the "Ethernet Q Commands" service. Any useEPSS 0.6%CVE-2023-4456MEDIUMOpenshift-logging: lokistack authorisation is cached too broadlyEPSS 0.6%CVE-2025-7493CRITICALFreeipa: idm: privilege escalation from host to domain admin in freeipaEPSS 0.6%CVE-2022-4813HIGHInsufficient Granularity of Access Control in usememos/memosEPSS 0.5%CVE-2026-77480HIGHSQL Server Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2025-29987HIGHDell PowerProtect Data Domain with Data Domain Operating System (DD OS) versions prior to 8.3.0.15 contain an Insufficient Granularity of AcEPSS 0.5%CVE-2023-0203MEDIUMNVIDIA ConnectX-5, ConnectX-6, and ConnectX6-DX contain a vulnerability in the NIC firmware, where an unprivileged user can exploit insufficEPSS 0.5%CVE-2023-0205MEDIUMNVIDIA ConnectX-5, ConnectX-6, and ConnectX6-DX contain a vulnerability in the NIC firmware, where an unprivileged user can exploit insufficEPSS 0.5%CVE-2026-68868MEDIUMApache Airflow Google provider: google Secret Manager backend: team scope is never applied, exposing every team's Connections and VariablesEPSS 0.5%CVE-2025-32703MEDIUMVisual Studio Information Disclosure VulnerabilityEPSS 0.5%CVE-2024-39323HIGHaimeos/ai-admin-graphql improper access control vulnerability allows an editor to modify admin accountEPSS 0.4%CVE-2025-4979MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2025-11246MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2026-40981HIGHWhen using Google Secrets Manager as a backend for the Spring Cloud Config server a client can craft a request to the config server potentiaEPSS 0.4%CVE-2024-2412MEDIUMHeimavista Rpage and Epage - Broken Access ControlEPSS 0.4%CVE-2024-5389MEDIUMInsufficient Access Control in lunary-ai/lunaryEPSS 0.4%CVE-2024-39324LOWaimeos/ai-admin-graphql improper access control vulnerability allows editors to manage own servicesEPSS 0.4%CVE-2024-6867MEDIUMInformation Disclosure in lunary-ai/lunaryEPSS 0.4%CVE-2026-16106MEDIUMKeycloak-services: keycloak-services: incorrect authorization in admin role-composite deletion allows delegated admin to remove privileged child rolesEPSS 0.4%