Falhas do tipo CWE-284

7.076 resultados

Controle de acesso inadequado a recursos

A aplicação falha em validar ou aplica incorretamente as restrições de acesso, permitindo que usuários não autorizados acessem dados ou funcionalidades que deveriam estar protegidas. É uma das fragilidades mais comuns em segurança: o código não verifica corretamente quem está pedindo acesso e simplesmente concede.

Exemplo

Um e-commerce que permite acessar o perfil de qualquer cliente substituindo o ID na URL (ex: /usuario/123 → /usuario/124), sem validar se o usuário autenticado é o dono daquele perfil. Um atacante consegue ver dados pessoais, histórico de compras e endereços de outras pessoas.

Como mitigar

Implemente verificações explícitas em cada acesso a recurso: autentique o usuário, identifique qual recurso ele quer acessar, e valide se as permissões dele cobrem aquele recurso específico. Use listas de controle de acesso (ACLs) ou papéis (RBAC/ABAC) consistentemente em toda a API ou aplicação, nunca deixando a segurança implícita.

CVE-2019-3845HIGHA lack of access control was found in the message queues maintained by Satellite's QPID broker and used by katello-agent in versions before EPSS 0.7%CVE-2022-0727MEDIUMImproper Access Control in chocobozzz/peertubeEPSS 0.7%CVE-2023-2902MEDIUMNFine Rapid Development Platform access controlEPSS 0.7%CVE-2025-26616CRITICALPath Traversal endpoint 'exportar_dump.php' parameter 'file' in WeGIAEPSS 0.7%CVE-2024-1294MEDIUMSunshine Photo Cart: Free Client Galleries for Photographers <= 3.0.24 - Unauthenticated Sensitive Information Exposure via InvoiceEPSS 0.7%CVE-2019-25157MEDIUMEthex Contracts Monthly Jackpot EthexJackpot.sol access controlEPSS 0.7%CVE-2025-69691CRITICALNetgate pfSense CE 2.8.0 allows code execution in the XMLRPC API via pfsense.exec_php. NOTE: the Supplier disputes this because the API callEPSS 0.7%CVE-2026-31874CRITICALTaskosaur Improper Role Assignment via Parameter Manipulation in User RegistrationEPSS 0.7%CVE-2026-24304CRITICALAzure Resource Manager Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2021-1477MEDIUMCisco Firepower Management Center Software Policy VulnerabilityEPSS 0.7%CVE-2026-3749MEDIUMBytedesk SVG File UploadRestService.java handleFileUpload unrestricted uploadEPSS 0.7%CVE-2021-24698—Simple Download Monitor < 3.9.6 - Arbitrary Thumbnails RemovalEPSS 0.7%CVE-2020-3329MEDIUMCisco IMC Supervisor, Cisco UCS Director, and Cisco UCS Director Express for Big Data Role-Based Access Control VulnerabilityEPSS 0.7%CVE-2025-14286MEDIUMTenda AC9 Configuration File DownloadCfg.jpg information disclosureEPSS 0.7%CVE-2021-24816—Phoenix Media Rename < 3.4.4 - Author Arbitrary Media File RenamingEPSS 0.7%CVE-2022-2052CRITICALTRUMPF TruTops default user accounts vulnerabilityEPSS 0.7%CVE-2026-8750MEDIUMh2oai h2o-3 ImportFile API PersistNFS.java importFiles information disclosureEPSS 0.7%CVE-2026-35904CRITICALIncorrect access control in the web management interface of T3 Technology CPE models T625Pro v1.0.07, T6825G v1.0.03, and T7281 v1.0.03 alloEPSS 0.7%CVE-2022-25650—A vulnerability has been identified in Mendix Applications using Mendix 7 (All versions < V7.23.27), Mendix Applications using Mendix 8 (AllEPSS 0.7%CVE-2025-1598MEDIUMSourceCodester Best Church Management Software asset_crud.php unrestricted uploadEPSS 0.7%