Falhas do tipo CWE-284

7.174 resultados

Controle de acesso inadequado a recursos

A aplicação falha em validar ou aplica incorretamente as restrições de acesso, permitindo que usuários não autorizados acessem dados ou funcionalidades que deveriam estar protegidas. É uma das fragilidades mais comuns em segurança: o código não verifica corretamente quem está pedindo acesso e simplesmente concede.

Exemplo

Um e-commerce que permite acessar o perfil de qualquer cliente substituindo o ID na URL (ex: /usuario/123 → /usuario/124), sem validar se o usuário autenticado é o dono daquele perfil. Um atacante consegue ver dados pessoais, histórico de compras e endereços de outras pessoas.

Como mitigar

Implemente verificações explícitas em cada acesso a recurso: autentique o usuário, identifique qual recurso ele quer acessar, e valide se as permissões dele cobrem aquele recurso específico. Use listas de controle de acesso (ACLs) ou papéis (RBAC/ABAC) consistentemente em toda a API ou aplicação, nunca deixando a segurança implícita.

CVE-2022-39884MEDIUMImproper access control vulnerability in IImsService prior to SMR Nov-2022 Release 1 allows local attacker to access to Call information.EPSS 0.1%CVE-2024-53010HIGHImproper Access Control in CoreEPSS 0.1%CVE-2024-20036MEDIUMIn vdec, there is a possible permission bypass due to a permissions bypass. This could lead to local information disclosure with System execEPSS 0.1%CVE-2022-39887MEDIUMImproper access control vulnerability in clearAllGlobalProxy in MiscPolicy prior to SMR Nov-2022 Release 1 allows local attacker to configurEPSS 0.1%CVE-2026-18462HIGHInteger Overflow or Wraparound, Improper Access Control vulnerability in RTI Connext Professional (Core Libraries) allows Shared Resource Manipulation.EPSS 0.1%CVE-2025-27062HIGHImproper Access Control in Automotive MultimediaEPSS 0.1%CVE-2026-24509LOWDell Alienware Command Center (AWCC), versions prior to 6.12.24.0, contain an Improper Access Control vulnerability. A low privileged attackEPSS 0.1%CVE-2026-0108MEDIUMThe register protection of the PowerVR GPU is incorrectly configured. This could lead to local information disclosure with no additional exeEPSS 0.1%CVE-2024-34725HIGHIn DevmemIntUnexportCtx of devicemem_server.c, there is a possible arbitrary code execution due to a race condition. This could lead to locaEPSS 0.1%CVE-2026-108810MEDIUMtsi-coop tsi-dpdp-cms JSON Schema Validation information disclosureEPSS —CVE-2026-108801MEDIUMprasathmani TinyFileManager tinyfilemanager.php move_uploaded_file unrestricted uploadEPSS —CVE-2026-108795MEDIUMZKTeco BioTime System Settings API systemSettings access controlEPSS —CVE-2026-108578MEDIUMNeterbit NW-431F Embedded Web Server sms.json information disclosureEPSS —CVE-2026-108811MEDIUMWMCMS index.php information disclosureEPSS —