Weaknesses of type CWE-441

231 results

Deputado Confuso (Proxy ou Intermediário Não Intencional)

Quando um componente intermediário (servidor, API, função, etc.) executa ações em nome de um cliente sem validar adequadamente quem realmente autorizou aquela ação, um atacante consegue explorar a confiança já estabelecida entre esse intermediário e outros sistemas. O intermediário acaba agindo como 'procurador involuntário' do atacante, realizando operações que o sistema final nunca autorizaria se a requisição viesse diretamente do atacante.

Example

Um servidor de cache proxy que aceita requisições GET de qualquer origem e as repassa a um serviço interno sem verificar se o cliente original deveria ter acesso àqueles dados. Um atacante faz o proxy buscar informações sensíveis do servidor interno e devolver para si, usando a confiança que o servidor interno tem no proxy.

How to mitigate

Valide a identidade e autorização do cliente original antes de repassar requisições para sistemas internos; use tokens ou assinaturas criptográficas que viagem junto com a requisição; implemente listas de origem segura (whitelist) rigorosas e autenticação mútua entre componentes intermediários e backends.

CVE-2026-58877MEDIUMIn checkNearbyDevicesPermission of WifiP2pServiceImpl.java, there is a possible permission bypass due to a confused deputy. This could lead EPSS 0.1%CVE-2025-48560MEDIUMIn AndroidManifest.xml, there is a possible way for an app to monitor motion events due to a confused deputy. This could lead to local inforEPSS 0.1%CVE-2025-32317MEDIUMIn App Widget, there is a possible Information Disclosure due to a confused deputy. This could lead to local information disclosure with no EPSS 0.1%CVE-2026-55264MEDIUMIn checkWhetherCallingAppHasAccess of DownloadProvider.java, there is a possible information leak due to a confused deputy. This could lead EPSS 0.1%CVE-2026-59015MEDIUMIn multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local information disclosure with EPSS 0.1%CVE-2025-48570HIGHIn multiple functions of PipTaskOrganizer.java, there is a possible way to launch an activity from the background due to a confused deputy. EPSS 0.1%CVE-2025-36889MEDIUMIn onCreateTasks of CameraActivity.java, there is a possible permission bypass due to a confused deputy. This could lead to local informatioEPSS 0.1%CVE-2026-28648HIGHIn Settings, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additiEPSS 0.1%CVE-2026-55270HIGHIn dialInternal in multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local escalation oEPSS 0.1%CVE-2026-0098HIGHIn getCallingPackageName of Shared.java, there is a possible way to bypass activity start restrictions due to a confused deputy. This could EPSS 0.1%CVE-2026-16920CRITICALMultiple Vulnerabilities in IBM API ConnectEPSS —