Falhas do tipo CWE-1220

134 resultados

Controle de acesso com granularidade insuficiente

Ocorre quando um sistema concede permissões em nível muito amplo, sem distinção entre diferentes tipos de operações, recursos ou usuários. Por exemplo, dar acesso total a um módulo quando o usuário precisava apenas ler dados, ou permitir qualquer ação em uma API sem segregar por funcionalidade. Isso amplifica o dano de uma credencial comprometida ou de um usuário mal-intencionado.

Exemplo

Um sistema de gestão de documentos que permite 'administrador' ou 'usuário', quando na verdade deveria ter papéis como 'leitor', 'editor', 'aprovador' e 'gerenciador de usuários'. Se um atacante compromete uma conta de 'usuário', pode fazer tudo que qualquer outro 'usuário' faz — inclusive deletar documentos críticos que só deveria poder ler.

Como mitigar

Implemente controle de acesso baseado em papéis (RBAC) ou atributos (ABAC) com permissões específicas e mínimas: defina exatamente quem pode ler, editar, deletar ou transferir cada tipo de recurso. Revise regularmente essas permissões e remova acessos desnecessários durante offboarding ou mudanças de função.

CVE-2026-14613MEDIUMKeycloak-services: keycloak-services: keycloak: fgap v2 role groups endpoint discloses hidden group metadata without group view permissionEPSS 0.4%CVE-2026-16108MEDIUMKeycloak-services: keycloak-services: realm default-group reads disclose hidden groups under fgap v2EPSS 0.4%CVE-2026-37981MEDIUMKeycloak: org.keycloak.authorization: keycloak: information disclosure via broken access control in user lookup endpointEPSS 0.4%CVE-2026-78433MEDIUMGitea private attachment disclosure through repository mismatchEPSS 0.4%CVE-2024-6696MEDIUMHitachi Vantara Pentaho Business Analytics Server - Insufficient Granularity of Access ControlEPSS 0.4%CVE-2026-6388CRITICALArgocd-image-updater: argocd image updater: cross-namespace privilege escalation via insufficient namespace validationEPSS 0.4%CVE-2026-70218HIGHWindows StateRepository API Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2026-40690MEDIUMApache Airflow: Assets graph view bypasses DAG level access control displaying unrelated topologies and all DAGs names to unauthorized usersEPSS 0.4%CVE-2026-38743MEDIUMApache Airflow: Dags endpoint might provide access to otherwise inaccessible entitiesEPSS 0.4%CVE-2026-69267MEDIUMWindows Connected User Experiences and Telemetry Information Disclosure VulnerabilityEPSS 0.4%CVE-2025-2408MEDIUMInsufficient Granularity of Access Control in GitLabEPSS 0.4%CVE-2026-9088LOWKeycloak: keycloak: information disclosure due to user profile permission bypassEPSS 0.3%CVE-2026-41326HIGHKata Containers: CopyFile Policy Subversion via SymlinksEPSS 0.3%CVE-2026-56155HIGHActive Directory Federation Services Elevation of Privilege VulnerabilityEPSS 0.3%KEVCVE-2026-2651CRITICALMissing Authorization Validation in mlflow/mlflowEPSS 0.3%CVE-2026-70216MEDIUMWindows Mobile Device Management Tampering VulnerabilityEPSS 0.3%CVE-2023-32259MEDIUMPotential Insufficient Access Control vulnerability has been identified in OpenText™ SMAX/AMX products.EPSS 0.3%CVE-2026-83499HIGHWindows Server Update Service Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-81969HIGHWindows Server Update Service Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-92539MEDIUMCross-organization user modification and deletion via the SCIM API in Grafana EnterpriseEPSS 0.3%