Weaknesses of type CWE-648

68 results

Uso incorreto de APIs privilegiadas

Ocorre quando código chama APIs ou funções de alto privilégio (como acesso a memória do kernel, operações de sistema ou recursos protegidos) sem validação adequada, verificação de contexto ou proteção apropriada. O desenvolvedor assume que a API vai funcionar corretamente ou confia em entrada do usuário sem sanitizar, criando uma porta de entrada para escalonamento de privilégio ou execução não autorizada.

Example

Um aplicativo que chama funções de sistema (como `ioctl`, `mmap` ou APIs de driver) sem verificar se o usuário tem permissão, ou passa parâmetros controlados pelo usuário diretamente para uma função privilegiada sem validação. Resultado: um usuário comum consegue executar operações que deveriam ser restritas ao administrador.

How to mitigate

Sempre validar e sanitizar entrada antes de passar para APIs privilegiadas, verificar explicitamente permissões do usuário/contexto de execução, usar modelos de segurança do SO (SELinux, AppArmor), e documentar claramente quais APIs são sensíveis e por quê. Revisar código que toca em APIs de sistema com lente de segurança.

CVE-2020-7927HIGHPotential privilege escalation in Ops Manager APIEPSS 1.0%CVE-2020-5291HIGHPrivilege escalation in setuid mode via user namespaces in BubblewrapEPSS 0.9%CVE-2023-29507CRITICALorg.xwiki.platform:xwiki-platform-oldcore makes Incorrect Use of Privileged APIs with DocumentAuthorsEPSS 0.9%CVE-2022-24821MEDIUMIncorrect Use of Privileged APIs in org.xwiki.platform.skin.skinxEPSS 0.8%CVE-2026-76460CRITICALCisco Identity Services Engine Authentication Bypass VulnerabilityEPSS 0.8%CVE-2023-28062HIGH Dell PPDM versions 19.12, 19.11 and 19.10, contain an improper access control vulnerability. A remote authenticated malicious user with lowEPSS 0.8%CVE-2023-4009HIGHPrivilege Escalation for Project Owner and Project User Admin Roles in Ops ManagerEPSS 0.8%CVE-2022-4796HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.8%CVE-2023-4972CRITICALInformation Disclosure in Digital YepasEPSS 0.7%CVE-2022-24071—A Built-in extension in Whale browser before 3.12.129.46 allows attackers to compromise the rendering process which could lead to controllinEPSS 0.7%CVE-2022-4687HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.6%CVE-2022-20965MEDIUMA vulnerability in the web-based management interface of Cisco Identity Services Engine could allow an authenticated, remote attacker to takEPSS 0.6%CVE-2023-6151HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2023-6150HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2022-24073—The Web Request API in Whale browser before 3.12.129.18 allowed to deny access to the extension store or redirect to any URL when users acceEPSS 0.6%CVE-2026-9560CRITICALPrivilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands wEPSS 0.6%CVE-2025-7344HIGHDigiwin｜EAI - Privilege EscalationEPSS 0.5%CVE-2024-46978MEDIUMMissing checks for notification filter preferences editions in XWiki PlatformEPSS 0.5%CVE-2023-20136MEDIUMA vulnerability in the OpenAPI of Cisco Secure Workload could allow an authenticated, remote attacker with the privileges of a read-only useEPSS 0.5%CVE-2022-4805HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.5%