Fallos del tipo CWE-269

2507 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2025-22937CRITICALAn issue in Adtran 411 ONT vL80.00.0011.M2 allows attackers to escalate privileges via unspecified vectors.EPSS 0.5%CVE-2023-0242HIGHInsufficient permission check in the VQL copy() functionEPSS 0.5%CVE-2024-41199HIGHAn issue in Ocuco Innovation - JOBMANAGER.EXE v2.10.24.16 allows attackers to bypass authentication and escalate privileges to AdministratorEPSS 0.5%CVE-2026-82860CRITICAL@hulumi/policies before 1.3.2 Admin Policy BypassEPSS 0.5%CVE-2023-51483CRITICALWordPress WP Frontend Profile plugin <= 1.3.1 - Unauthenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-76677HIGHAuthorization Bypass Leading to Privilege Escalation in HPE Networking EdgeConnect SD-WAN GatewaysEPSS 0.5%CVE-2025-2232CRITICALRealteo - Real Estate Plugin by Purethemes <= 1.2.8 - Authentication Bypass via 'do_register_user'EPSS 0.5%CVE-2020-16126LOWaccountsservice drops ruid, allows unprivileged users to send it signalsEPSS 0.5%CVE-2026-3629HIGHImport and export users and customers <= 1.29.7 - Privilege Escalation to Administrator via save_extra_user_profile_fieldsEPSS 0.5%CVE-2026-55843HIGHSnipe-IT: Improper Privilege ManagementEPSS 0.5%CVE-2022-42855HIGHA logic issue was addressed with improved state management. This issue is fixed in tvOS 16.2, macOS Monterey 12.6.2, macOS Ventura 13.1, iOSEPSS 0.5%CVE-2025-52915HIGHK7RKScan.sys 23.0.0.10, part of the K7 Security Anti-Malware suite, allows an admin-privileged user to send crafted IOCTL requests to terminEPSS 0.5%CVE-2024-33374CRITICALIncorrect access control in the UART/Serial interface on the LB-LINK BL-W1210M v2.0 router allows attackers to access the root terminal withEPSS 0.5%CVE-2022-46172MEDIUMauthentik allows existing authenticated users to create arbitrary accountsEPSS 0.5%CVE-2023-51476CRITICALWordPress WP MLM Unilevel plugin <= 4.0 - Unauthenticated Account Takeover vulnerabilityEPSS 0.5%CVE-2026-51119CRITICALAn issue in Invixium IXM WEB v.2.3.85.25 allows an attacker to escalate privileges via the /SystemUsers/CreateAppUser componentsEPSS 0.5%CVE-2024-30542CRITICALWordPress WholesaleX plugin <= 1.3.2 - Unauthenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-76694MEDIUMAuthenticated Privilege Escalation Vulnerability in the Command Line Interface of HPE Networking EdgeConnect SD-WAN GatewaysEPSS 0.5%CVE-2023-51481CRITICALWordPress Local Delivery Drivers for WooCommerce plugin <= 1.9.0 - Unauthenticated Account Takeover vulnerabilityEPSS 0.5%CVE-2026-90787MEDIUMSoarkey StudentManagement Registration Workflow register.html RegisterServlet.doPost privileges managementEPSS 0.5%