Fallos del tipo CWE-280

178 resultados

Tratamento inadequado de permissões ou privilégios insuficientes

A aplicação não verifica ou não reage corretamente quando um usuário tenta executar uma ação sem as permissões necessárias. Em vez de negar o acesso de forma segura, o sistema pode ignorar a falta de permissão, executar a operação parcialmente, ou deixar dados sensíveis expostos. Isso permite que usuários não autorizados acessem ou modifiquem recursos restritos.

Ejemplo

Um portal administrativo que tenta ocultar o botão 'Deletar usuário' via CSS para usuários comuns, mas não valida permissões no backend. Um atacante remove o CSS ou chama a API diretamente e consegue deletar qualquer usuário. Ou ainda: um sistema que registra um log quando acesso é negado, mas executa 80% da operação sensível antes de verificar permissões.

Cómo mitigar

Implemente validação de permissões no servidor (nunca confie no cliente) antes de qualquer operação sensível. Use um modelo de controle de acesso (RBAC, ABAC) consistente, valide permissões em toda camada de negócio, não apenas na UI, e falhe de forma segura — rejeite completamente a operação se houver dúvida sobre privilégios.

CVE-2025-31172HIGHMemory write permission bypass vulnerability in the kernel futex module Impact: Successful exploitation of this vulnerability may affect serEPSS 0.1%CVE-2025-31173HIGHMemory write permission bypass vulnerability in the kernel futex module Impact: Successful exploitation of this vulnerability may affect serEPSS 0.1%CVE-2022-30723MEDIUMBroadcasting Intent including the BluetoothDevice object without proper restriction of receivers in activateVoiceRecognitionWithDevice functEPSS 0.1%CVE-2026-21121MEDIUMImproper handling of insufficient permission in CmcCore prior to SMR Oct-2026 Release 1 allows local attackers to use the privileged APIs.EPSS 0.1%CVE-2022-30724MEDIUMBroadcasting Intent including the BluetoothDevice object without proper restriction of receivers in sendIntentSessionCompleted function of BEPSS 0.1%CVE-2022-30725MEDIUMBroadcasting Intent including the BluetoothDevice object without proper restriction of receivers in sendIntentSessionError function of BluetEPSS 0.1%CVE-2026-23857HIGHDell Update Package (DUP) Framework, versions 23.12.00 through 24.12.00, contains an Improper Handling of Insufficient Permissions or PrivilEPSS 0.1%CVE-2026-20577MEDIUMIn Modem, there is a possible permission bypass due to a permissions bypass. This could lead to local denial of service if a malicious actorEPSS 0.1%CVE-2025-27521MEDIUMVulnerability of improper access permission in the process management module Impact: Successful exploitation of this vulnerability may affecEPSS 0.1%CVE-2026-20599MEDIUMIn Modem, there is a possible escalation of privilege due to a missing permission check. This could lead to local escalation of privilege ifEPSS 0.1%CVE-2025-45376HIGHDell Repository Manager (DRM), versions 3.4.7 and 3.4.8, contains an Improper Handling of Insufficient Permissions or Privileges vulnerabiliEPSS 0.1%CVE-2026-2123HIGHPrivilege escalation vulnerability in Operations AgentEPSS 0.1%CVE-2026-21733HIGHGPU DDK - Incorrect flags validation in RGXDerivePTEProt8 can allow GPU to overwrite read-only shared memory (e.g. libc.so)EPSS 0.1%CVE-2024-23704HIGHIn onCreate of WifiDialogActivity.java, there is a possible way to bypass the DISALLOW_ADD_WIFI_CONFIG restriction due to a missing permissiEPSS 0.1%CVE-2022-30727MEDIUMImproper handling of insufficient permissions vulnerability in addAppPackageNameToAllowList in PersonaManagerService prior to SMR Jun-2022 REPSS 0.1%CVE-2022-39885MEDIUMImproper access control vulnerability in BootCompletedReceiver_CMCC in DeviceManagement prior to SMR Nov-2022 Release 1 allows local attackeEPSS 0.1%CVE-2022-39886MEDIUMImproper access control vulnerability in IpcRxServiceModeBigDataInfo in RIL prior to SMR Nov-2022 Release 1 allows local attacker to access EPSS 0.1%CVE-2026-80301—Avast sandbox escape via unpreserved COM pathway through Task SchedulerEPSS —