Fallos del tipo CWE-269

2822 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2023-36024HIGHMicrosoft Edge (Chromium-based) Elevation of Privilege VulnerabilityEPSS 1.2%CVE-2022-1397HIGHAPI Privilege Escalation in alextselegidis/easyappointmentsEPSS 1.2%CVE-2024-38089CRITICALMicrosoft Defender for IoT Elevation of Privilege VulnerabilityEPSS 1.2%CVE-2021-31581HIGHAkkadian Provisioning Manager Engine (PME) Shell Escape via 'vi' editor interfaceEPSS 1.2%CVE-2021-24289—Store Locator Plus <= 5.5.14 - Authenticated Privilege EscalationEPSS 1.1%CVE-2022-24783CRITICALSandbox bypass leading to arbitrary code execution in DenoEPSS 1.1%CVE-2022-30526HIGHA privilege escalation vulnerability was identified in the CLI command of Zyxel USG FLEX 100(W) firmware versions 4.50 through 5.30, USG FLEEPSS 1.1%CVE-2022-2104CRITICALSecheron SEPCOS Control and Protection RelayEPSS 1.1%CVE-2022-23604HIGHPrivilege escalation in DefenderEPSS 1.1%CVE-2019-11270HIGHUAA clients.write vulnerabilityEPSS 1.1%CVE-2023-27654CRITICALAn issue found in WHOv.1.0.28, v.1.0.30, v.1.0.32 allows an attacker to cause a escalation of privileges via the TTMultiProvider component.EPSS 1.1%CVE-2022-38351HIGHA vulnerability in Suprema BioStar (aka Bio Star) 2 v2.8.16 allows attackers to escalate privileges to System Administrator via a crafted PUEPSS 1.1%CVE-2024-26247MEDIUMMicrosoft Edge (Chromium-based) Security Feature Bypass VulnerabilityEPSS 1.1%CVE-2023-22946MEDIUMApache Spark proxy-user privilege escalation from malicious configuration classEPSS 1.1%CVE-2024-14004HIGHNagios XI < 2024R1.2 Privilege Escalation via NagVis Configuration (nagvis.conf)EPSS 1.1%CVE-2026-0920CRITICALLA-Studio Element Kit for Elementor <= 1.5.6.3 - Unauthenticated Privilege Escalation via Backdoor to Administrative User Creation via lakit_bkrole parameterEPSS 1.1%CVE-2024-23537HIGHApache Fineract: Under certain circumstances, this vulnerability allowed users, without specific permissions, to escalate their privileges to any role.EPSS 1.1%CVE-2024-43199HIGHNagios NDOUtils before 2.1.4 allows privilege escalation from nagios to root because certain executable files are owned by the nagios user.EPSS 1.1%CVE-2023-31469HIGHApache StreamPipes: Privilege escalation through non-admin userEPSS 1.1%CVE-2024-34370HIGHWordPress EAN for WooCommerce plugin <= 4.8.9 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 1.1%