Fallos del tipo CWE-280

169 resultados

Tratamento inadequado de permissões ou privilégios insuficientes

A aplicação não verifica ou não reage corretamente quando um usuário tenta executar uma ação sem as permissões necessárias. Em vez de negar o acesso de forma segura, o sistema pode ignorar a falta de permissão, executar a operação parcialmente, ou deixar dados sensíveis expostos. Isso permite que usuários não autorizados acessem ou modifiquem recursos restritos.

Ejemplo

Um portal administrativo que tenta ocultar o botão 'Deletar usuário' via CSS para usuários comuns, mas não valida permissões no backend. Um atacante remove o CSS ou chama a API diretamente e consegue deletar qualquer usuário. Ou ainda: um sistema que registra um log quando acesso é negado, mas executa 80% da operação sensível antes de verificar permissões.

Cómo mitigar

Implemente validação de permissões no servidor (nunca confie no cliente) antes de qualquer operação sensível. Use um modelo de controle de acesso (RBAC, ABAC) consistente, valide permissões em toda camada de negócio, não apenas na UI, e falhe de forma segura — rejeite completamente a operação se houver dúvida sobre privilégios.

CVE-2024-4692LOWMultiple missing permission checksEPSS 0.3%CVE-2025-58410HIGHGPU DDK - Multiple calls into PhysmemGEMPrimeExport can inherit write access permission for an existing read-only dma_buf import PMREPSS 0.3%CVE-2026-54259MEDIUMWagtail: Improper restriction handling on Documents and Images chosen endpointsEPSS 0.3%CVE-2026-54262MEDIUMWagtail: Pages translations can be created without page permissions when using simple_translationEPSS 0.3%CVE-2026-9792MEDIUMKeycloak: keycloak: security restriction bypass allows unauthorized ropc token acquisitionEPSS 0.3%CVE-2026-10549MEDIUMPrivilege escalation in Yandex DatabaseEPSS 0.3%CVE-2025-62176MEDIUMMastadon streaming server allows OAuth clients without the `read` scope to subscribe to public channelsEPSS 0.3%CVE-2024-35301MEDIUMIn JetBrains TeamCity before 2024.03.1 commit status publisher didn't check project scope of the GitHub App tokenEPSS 0.3%CVE-2026-1772MEDIUMRTU500 web interface: An unprivileged user can read user management information. The information cannot be accessed via the RTU500 web user EPSS 0.3%CVE-2026-1759MEDIUMImproper handling of insufficient permissions or privileges vulnerability in Secomea GateManager allows Privilege Escalation. This issue afEPSS 0.3%CVE-2024-42194LOWHCL BigFix Inventory is affected by an access control vulnerabilityEPSS 0.3%CVE-2026-44201MEDIUMWagtail: Improper restriction handling on Documents and Images APIEPSS 0.3%CVE-2026-58416HIGHFork-PR Actions task can read a third private repository via the collaborative-owner branch (missing fork-PR guard)EPSS 0.3%CVE-2024-55604MEDIUMAppsmith's Broken Access Control Allows Viewer Role User to Query DatasourcesEPSS 0.2%CVE-2025-64997MEDIUMInsufficient permission validation when showing agent informationEPSS 0.2%CVE-2025-20649MEDIUMIn Bluetooth Stack SW, there is a possible information disclosure due to a missing permission check. This could lead to remote (proximal/adjEPSS 0.2%CVE-2026-11804MEDIUMProgram Module VulnerabilityEPSS 0.2%CVE-2023-41972HIGHRevert password check incorrect type validationEPSS 0.2%CVE-2026-24096MEDIUMInsufficient permission validation on multiple REST API Quick Setup endpointsEPSS 0.2%CVE-2026-6805MEDIUMVulnerability on Cryptobox external sharing featureEPSS 0.2%