Weaknesses of type CWE-367

680 results

Condição de corrida entre verificação e uso (TOCTOU)

A aplicação verifica uma condição (ex: permissão, existência de arquivo) e depois usa o recurso baseado naquela verificação, mas entre os dois momentos outro processo pode mudar o estado do recurso. O atacante explora a janela de tempo para alterar o que foi verificado, contornando a validação.

Example

Um programa verifica se um arquivo existe e tem permissão de leitura, depois o abre para processar. Entre a verificação e a abertura, um atacante pode trocar o arquivo por um link simbólico apontando para um arquivo sensível do sistema. O programa abre o link sem perceber a mudança.

How to mitigate

Use operações atômicas que combinam verificação e uso em uma única chamada de sistema (ex: open() com flags exclusivas, fstat() após abrir arquivo). Em casos de acesso a dados compartilhados, implemente locks ou transações que impeçam alterações entre a validação e o uso do recurso.

CVE-2026-47621MEDIUMNVIDIA Dynamo for Linux contains a vulnerability where an attacker could cause a race condition in the LoRA manager singleton initializationEPSS 0.3%CVE-2026-58041MEDIUMA flaw in Node.js node:sqlite allows a stale StatementSyncIterator created through DatabaseSync#createTagStore() to continue executing a cacEPSS 0.3%CVE-2024-28137HIGHPHOENIX CONTACT: privilege escalation due to a TOCTOU vulnerability in the CHARX Series EPSS 0.3%CVE-2026-91743HIGHRace condition in Core in Google Chrome prior to 153.0.8010.47 allowed a remote attacker who had compromised the renderer process to potentiEPSS 0.3%CVE-2026-7724LOWPrefectHQ prefect Webhook/Notification validate_restricted_url toctouEPSS 0.3%CVE-2020-14375—A flaw was found in dpdk in versions before 18.11.10 and before 19.11.5. Virtio ring descriptors, and the data they describe are in a regionEPSS 0.3%CVE-2024-0133MEDIUMNVIDIA Container Toolkit 1.16.1 or earlier contains a vulnerability in the default mode of operation allowing a specially crafted container EPSS 0.2%CVE-2024-9512MEDIUMTime-of-check Time-of-use (TOCTOU) Race Condition in GitLabEPSS 0.2%CVE-2025-13032CRITICALDouble fetch in sandbox kernel driver in Avast/AVG Antivirus <25.3  on windows allows local attacker to escalate privelages via pool overfloEPSS 0.2%CVE-2026-65598HIGHn8n before 1.123.64 Remote Code Execution via Git CloneEPSS 0.2%CVE-2024-9183HIGHTime-of-check Time-of-use (TOCTOU) Race Condition in GitLabEPSS 0.2%CVE-2026-72584HIGHfastschema - TOCTOU Race Condition Bypasses OTP Attempt Limit in Account RecoveryEPSS 0.2%CVE-2026-79046MEDIUMRace condition in Permissions in Google Chrome on on Android prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering EPSS 0.2%CVE-2022-23084HIGHPotential jail escape vulnerabilities in netmapEPSS 0.2%CVE-2024-43882HIGHexec: Fix ToCToU between perm check and set-uid/gid usageEPSS 0.2%CVE-2022-34899HIGHThis vulnerability allows local attackers to escalate privileges on affected installations of Parallels Access 6.5.4 (39316) Agent. An attacEPSS 0.2%CVE-2026-63297CRITICALCross-project instance copy bypasses target project restrictions via TOCTOU in config mergeEPSS 0.2%CVE-2026-7837LOWTOCTOU with root privilege in ad_flushEPSS 0.2%CVE-2026-55391HIGHdatamodel-code-generator vulnerable to SSRF protection bypass via DNS rebindingEPSS 0.2%CVE-2026-44694HIGHn8n-MCP: Authenticated SSRF in n8n-mcp webhook and API client pathsEPSS 0.2%