Fallos del tipo CWE-1220

134 resultados

Controle de acesso com granularidade insuficiente

A aplicação implementa controle de acesso, mas em nível muito grosseiro — por exemplo, libera acesso a um módulo inteiro quando deveria controlar operações específicas dentro dele. Assim, um usuário autorizado a ler dados consegue também deletá-los ou modificá-los, ampliando indevidamente suas permissões.

Ejemplo

Um painel administrativo verifica se o usuário é 'gerente', mas não valida se esse gerente pode apagar usuários específicos ou apenas consultá-los. O atacante autenticado como gerente executa operações não permitidas porque a verificação foi feita só no acesso ao módulo, não em cada ação.

Cómo mitigar

Implemente controle de acesso por atributo ou papel (RBAC/ABAC) que valide permissões em cada operação sensível, não apenas na entrada do módulo. Use listas de controle de acesso (ACL) específicas para cada recurso e ação (criar, ler, atualizar, deletar).

CVE-2026-40981HIGHWhen using Google Secrets Manager as a backend for the Spring Cloud Config server a client can craft a request to the config server potentiaEPSS 0.4%CVE-2024-2412MEDIUMHeimavista Rpage and Epage - Broken Access ControlEPSS 0.4%CVE-2024-5389MEDIUMInsufficient Access Control in lunary-ai/lunaryEPSS 0.4%CVE-2024-4147HIGHInsufficient Access Control in lunary-ai/lunaryEPSS 0.4%CVE-2024-39324LOWaimeos/ai-admin-graphql improper access control vulnerability allows editors to manage own servicesEPSS 0.4%CVE-2025-11246MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2026-86338MEDIUMAsh field policies do not filter-nil forbidden calculations and aggregates, enabling an information-disclosure oracleEPSS 0.4%CVE-2026-78216MEDIUMAshLua eval read operations can read field-policy-protected fields via aggregatesEPSS 0.4%CVE-2026-78230MEDIUMAshAi aggregate tool can read field-policy-protected fieldsEPSS 0.4%CVE-2024-6867MEDIUMInformation Disclosure in lunary-ai/lunaryEPSS 0.4%CVE-2026-16106MEDIUMKeycloak-services: keycloak-services: incorrect authorization in admin role-composite deletion allows delegated admin to remove privileged child rolesEPSS 0.4%CVE-2024-13256HIGHEmail Contact - Moderately critical - Access bypass - SA-CONTRIB-2024-020EPSS 0.4%CVE-2023-3227MEDIUMInsufficient Granularity of Access Control in fossbilling/fossbillingEPSS 0.4%CVE-2026-77778HIGHImproper access control vulnerabilityEPSS 0.4%CVE-2026-16560MEDIUM389-ds-base: 389-ds-base: heap-buffer-overflow in rdn_av_swap on quoted multivalued rdnEPSS 0.4%CVE-2025-1278MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2023-50713MEDIUMSpeckle Server API Token Privilege EscalationEPSS 0.4%CVE-2025-27026MEDIUMImproper Access Control Granularity impacting Infinera G42EPSS 0.4%CVE-2025-69196HIGHFastMCP OAuth Proxy token reuse across MCP serversEPSS 0.4%CVE-2026-14615MEDIUMKeycloak-services: keycloak: fgap v2 parent group children endpoint bypasses per-child view permission filterEPSS 0.4%