Falhas do tipo CWE-1220

100 resultados

Controle de acesso com granularidade insuficiente

Ocorre quando um sistema concede permissões em nível muito amplo, sem distinção entre diferentes tipos de operações, recursos ou usuários. Por exemplo, dar acesso total a um módulo quando o usuário precisava apenas ler dados, ou permitir qualquer ação em uma API sem segregar por funcionalidade. Isso amplifica o dano de uma credencial comprometida ou de um usuário mal-intencionado.

Exemplo

Um sistema de gestão de documentos que permite 'administrador' ou 'usuário', quando na verdade deveria ter papéis como 'leitor', 'editor', 'aprovador' e 'gerenciador de usuários'. Se um atacante compromete uma conta de 'usuário', pode fazer tudo que qualquer outro 'usuário' faz — inclusive deletar documentos críticos que só deveria poder ler.

Como mitigar

Implemente controle de acesso baseado em papéis (RBAC) ou atributos (ABAC) com permissões específicas e mínimas: defina exatamente quem pode ler, editar, deletar ou transferir cada tipo de recurso. Revise regularmente essas permissões e remova acessos desnecessários durante offboarding ou mudanças de função.

CVE-2025-31201CRITICALThis issue was addressed by removing the vulnerable code. This issue is fixed in iOS 18.4.1 and iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18EPSS 14.7%KEVCVE-2026-33825HIGHMicrosoft Defender Elevation of Privilege VulnerabilityEPSS 6.7%KEVCVE-2024-42365HIGHAsterisk allows `Write=originate` as sufficient permissions for code execution / `System()` dialplanEPSS 4.7%CVE-2026-39363HIGHVite Affected by Arbitrary File Read via Vite Dev Server WebSocketEPSS 3.3%CVE-2026-49170HIGHWindows StateRepository API Server file Elevation of Privilege VulnerabilityEPSS 2.8%CVE-2023-43040MEDIUMIBM Spectrum Fusion HCI improper access controlEPSS 2.5%CVE-2026-56155HIGHActive Directory Federation Services Elevation of Privilege VulnerabilityEPSS 2.3%KEVCVE-2025-4404CRITICALFreeipa: idm: privilege escalation from host to domain admin in freeipaEPSS 1.9%CVE-2023-33127HIGH.NET and Visual Studio Elevation of Privilege VulnerabilityEPSS 1.9%CVE-2025-3648HIGHData Inference in Now Platform via Conditional ACLsEPSS 1.7%CVE-2021-31384HIGHJunos OS: SRX Series: Under a specific device configuration an attacker can access the devices J-Web management services from any interface, regardless of security settings protecting the serviceEPSS 1.1%CVE-2024-43604MEDIUMOutlook for Android Elevation of Privilege VulnerabilityEPSS 1.1%CVE-2024-8927HIGHcgi.force_redirect configuration is bypassable due to the environment variable collisionEPSS 1.1%CVE-2026-40365HIGHMicrosoft SharePoint Server Remote Code Execution VulnerabilityEPSS 1.0%CVE-2023-39418LOWPostgresql: merge fails to enforce update or select row security policiesEPSS 1.0%CVE-2022-1461HIGHNon Privilege User can Enable or Disable Registered in openemr/openemrEPSS 0.9%CVE-2022-1177MEDIUMAccounting User Can Download Patient Reports in openemr in openemr/openemrEPSS 0.9%CVE-2023-27591HIGHUnauthenticated Miniflux user can bypass allowed networks check to obtain Prometheus metricsEPSS 0.8%CVE-2022-36110HIGHNetmaker vulnerable to Insufficient Granularity of Access ControlEPSS 0.7%CVE-2022-4801HIGHInsufficient Granularity of Access Control in usememos/memosEPSS 0.7%