Weaknesses of type CWE-197
52 resultsExecução de código ou comandos não autorizado
É quando uma aplicação executa código ou comandos do sistema sem validar adequadamente a origem ou permissões, permitindo que um atacante rode operações além do que deveria estar autorizado. O perigo está em que qualquer falha na verificação de autorização abre porta para escalação de privilégio ou execução arbitrária de código malicioso.
Um script de backup que roda como root sem checar se quem disparou tem permissão para isso; ou uma API que executa comandos SQL/shell direto dos parâmetros do usuário, sem validar se ele tem acesso àquele recurso.
Implemente controle de acesso explícito antes de qualquer execução (verificar permissões do usuário autenticado), valide e sanitize todos os inputs (evite concatenação direta em comandos), e rode processos com o mínimo de privilégio necessário, nunca como root ou admin padrão.