Weaknesses of type CWE-653

95 results

Falta de isolamento entre funcionalidades com privilégios diferentes

O software não separa adequadamente recursos, processos ou funcionalidades que deveriam exigir níveis distintos de permissão. Isso permite que um atacante com privilégios baixos acesse ou manipule operações que deveriam estar restritas a administradores ou usuários com privilégios elevados, contornando controles de acesso.

Example

Uma aplicação web permite que um usuário comum modifique configurações globais do sistema simplesmente alterando parâmetros na URL (ex: /admin/settings?role=admin), porque o backend não valida se o usuário autenticado tem permissão de administrador para aquela ação. O código trata todos os usuários da mesma forma.

How to mitigate

Implemente validação rigorosa de permissões em cada operação sensível: verifique o nível de privilégio do usuário antes de executar ações administrativas ou críticas. Use padrões como controle de acesso baseado em papéis (RBAC) e garanta que recursos isolados (arquivos, APIs, bancos de dados) sejam acessíveis apenas conforme a política de segurança define.

CVE-2026-95699HIGHMrSteam iSteamX Improper Isolation or CompartmentalizationEPSS 0.3%CVE-2025-27027MEDIUMRestricted shell evasion in Radiflow iSAP Smart CollectorEPSS 0.3%CVE-2026-34775MEDIUMElectron: nodeIntegrationInWorker not correctly scoped in shared renderer processesEPSS 0.3%CVE-2024-30388HIGHJunos OS: QFX5000 Series and EX Series: Specific malformed LACP packets will cause flapsEPSS 0.3%CVE-2025-3717LOWIncorrect oauth passthrough in Grafana Snowflake DatasourceEPSS 0.3%CVE-2025-41116LOWIncorrect oauth passthrough in Grafana Databricks DatasourceEPSS 0.3%CVE-2026-105643HIGHGhost: Stored XSS via Embed Card PreviewsEPSS 0.3%CVE-2025-53710HIGHNetwork boundaries not respected in certain Foundry namespaces.EPSS 0.3%CVE-2026-115416MEDIUMIncorrect authorization checks in Amazon Athena engine version 3 query processingEPSS 0.3%CVE-2025-6705HIGHA vulnerability in the Eclipse Open VSX Registry’s automated publishing system could have allowed unauthorized uploads of extensions. SpecifEPSS 0.3%CVE-2026-5600MEDIUMA new API endpoint introduced in pretix 2025 that is supposed to return all check-in events of a specific event in fact returns all check-EPSS 0.3%CVE-2026-4325MEDIUMKeycloak: keycloak: replay of action tokens via improper handling of single-use entriesEPSS 0.3%CVE-2026-41174MEDIUMTraefik Kubernetes CRD allows unauthorized cross-namespace middleware bindingEPSS 0.3%CVE-2024-5801MEDIUMIP Forwarding enabled in B&R Automation RuntimeEPSS 0.3%CVE-2026-97029MEDIUMFlatpak: flatpak: sandboxed app can signal unsandboxed processes in the same process groupEPSS 0.2%CVE-2026-5599HIGHAPI allows deletion of users of other instanceEPSS 0.2%CVE-2026-15366LOWA control logic defect in a specific built-in webpage of Kids Mode allows users to view local gallery photos directly within the pageEPSS 0.2%CVE-2026-113687CRITICALApache Syncope: RCE via ProcessGroovyMethodsSandbox bypassEPSS 0.2%CVE-2026-109083CRITICALApache Syncope: Remote Code Execution via Flowable JUEL expressionEPSS 0.2%CVE-2024-35425MEDIUMvmir e8117 was discovered to contain a segmentation violation via the function_prepare_parse function at /src/vmir_function.c.EPSS 0.2%