Fallos del tipo CWE-1220

115 resultados

Controle de acesso com granularidade insuficiente

A aplicação implementa controle de acesso, mas em nível muito grosseiro — por exemplo, libera acesso a um módulo inteiro quando deveria controlar operações específicas dentro dele. Assim, um usuário autorizado a ler dados consegue também deletá-los ou modificá-los, ampliando indevidamente suas permissões.

Ejemplo

Um painel administrativo verifica se o usuário é 'gerente', mas não valida se esse gerente pode apagar usuários específicos ou apenas consultá-los. O atacante autenticado como gerente executa operações não permitidas porque a verificação foi feita só no acesso ao módulo, não em cada ação.

Cómo mitigar

Implemente controle de acesso por atributo ou papel (RBAC/ABAC) que valide permissões em cada operação sensível, não apenas na entrada do módulo. Use listas de controle de acesso (ACL) específicas para cada recurso e ação (criar, ler, atualizar, deletar).

CVE-2025-2498LOWInsufficient Granularity of Access Control in GitLabEPSS 0.3%CVE-2026-69267MEDIUMWindows Connected User Experiences and Telemetry Information Disclosure VulnerabilityEPSS 0.3%CVE-2025-8053LOWInsufficient access control vulnerability has been discovered in Opentext Flipper.EPSS 0.3%CVE-2026-0873MEDIUMPrivilege Elevation in Ercom Cryptobox administration consoleEPSS 0.2%CVE-2026-78216MEDIUMAshLua eval read operations can read field-policy-protected fields via aggregatesEPSS 0.2%CVE-2026-78230MEDIUMAshAi aggregate tool can read field-policy-protected fieldsEPSS 0.2%CVE-2024-13272MEDIUMParagraphs table - Critical - Access bypass, Information Disclosure - SA-CONTRIB-2024-036EPSS 0.2%CVE-2025-20628MEDIUMInsufficient granularity of access control for Remote Connector Servers in client modeEPSS 0.2%CVE-2023-44285HIGH Dell PowerProtect DD, versions prior to 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15, 6.2.1.110 contain an improper access control vulnerability.EPSS 0.2%CVE-2026-35436HIGHMicrosoft Office Click-To-Run Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2024-39279MEDIUMInsufficient granularity of access control in UEFI firmware in some Intel(R) processors may allow a authenticated user to potentially enableEPSS 0.2%CVE-2026-16108MEDIUMKeycloak-services: keycloak-services: realm default-group reads disclose hidden groups under fgap v2EPSS 0.2%CVE-2024-52799HIGHArgo Workflows Chart: Excessive Privileges in Workflow RoleEPSS 0.2%CVE-2023-6725MEDIUMTripleo-ansible: bind keys are world readableEPSS 0.2%CVE-2023-45217HIGHImproper access control in Intel(R) Power Gadget software for Windows all versions may allow an authenticated user to potentially enable escEPSS 0.2%CVE-2023-40070HIGHImproper access control in some Intel(R) Power Gadget software for macOS all versions may allow an authenticated user to potentially enable EPSS 0.2%CVE-2025-22839HIGHInsufficient granularity of access control in the OOB-MSM for some Intel(R) Xeon(R) 6 Scalable processors may allow a privileged user to potEPSS 0.2%CVE-2023-31343HIGHImproper input validation in the SMM handler may allow a privileged attacker to overwrite SMRAM, potentially leading to arbitrary code execuEPSS 0.2%CVE-2023-31342HIGHImproper input validation in the SMM handler may allow a privileged attacker to overwrite SMRAM, potentially leading to arbitrary code execuEPSS 0.2%CVE-2024-52814LOWHelm Lacks Granularity in Workflow RoleEPSS 0.2%