Fallos del tipo CWE-269

2508 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2026-13610HIGHKiviCare < 4.5.2 - Unauthenticated Privilege Escalation via RegistrationEPSS 0.4%CVE-2026-8980CRITICALPrivilege EscalationEPSS 0.4%CVE-2026-30269CRITICALImproper access control in Doorman v0.1.0 and v1.0.2 allows any authenticated user to update their own account role to a non-admin privilegeEPSS 0.4%CVE-2026-12687HIGHProfileGrid < 5.9.9.8 - Unauthenticated Privilege Escalation via Unrestricted Group IDEPSS 0.4%CVE-2026-14333HIGHDemi - One Click Demo Import, Backup & Site Migration < 0.0.7 - Unauthenticated Sensitive Data Exposure via Public Backup DirectoryEPSS 0.4%CVE-2021-21430MEDIUMCreation of Temporary File in Directory with Insecure Permissions in auto-generated Java, Scala codeEPSS 0.4%CVE-2026-16534CRITICALImport and export users and customers < 2.4.2 - Custom Role Privilege Escalation to Administrator via CSV ImportEPSS 0.4%CVE-2025-11086HIGHAcademy LMS Pro <= 3.3.7 - Unauthenticated Privilege Escalation via Social Login AddonEPSS 0.4%CVE-2022-23743—Check Point ZoneAlarm before version 15.8.200.19118 allows a local actor to escalate privileges during the upgrade process. In addition, weaEPSS 0.4%CVE-2025-3418HIGHWPC Admin Columns 2.0.6 - 2.1.0 - Authenticated (Subscriber+) Privilege Escalation via User Meta UpdateEPSS 0.4%CVE-2026-8952HIGHPrivilege escalation in the Application Update componentEPSS 0.4%CVE-2026-66399HIGHphpMyFAQ before 4.1.6 Privilege Escalation via Group MembershipEPSS 0.4%CVE-2026-50201MEDIUMSteeltoe's sensitive actuators (heapdump/env) only require Restricted permissionEPSS 0.4%CVE-2026-29647MEDIUMIn OpenXiangShan NEMU, insufficient Smstateen permission enforcement allows lower-privileged code to access IMSIC state via stopei/vstopei CEPSS 0.4%CVE-2024-21101LOWVulnerability in the MySQL Cluster product of Oracle MySQL (component: Cluster: General). Supported versions that are affected are 7.5.33 aEPSS 0.4%CVE-2020-7280HIGHSymbolic Link vulnerability during DAT updateEPSS 0.4%CVE-2025-11457CRITICALEasyCommerce – AI-Powered, Blazing-Fast & Beautiful WordPress Ecommerce Plugin 0.9.0-beta2 - 1.8.2 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2021-31847HIGHImproper privilege management in repair process of MA for WindowsEPSS 0.4%CVE-2026-17956HIGHInappropriate implementation in Scheduling in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code insidEPSS 0.4%CVE-2026-17969HIGHInappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code insideEPSS 0.4%