Fallos del tipo CWE-269

2492 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2021-39168CRITICALTimelockController vulnerability in OpenZeppelin ContractsEPSS 1.6%CVE-2015-10139HIGHWPLMS Learning Management System for WordPress, WordPress LMS <= 1.8.4.1 - Privilege EscalationEPSS 1.6%CVE-2021-22801—A CWE-269: Improper Privilege Management vulnerability exists that could cause an arbitrary command execution when the software is configureEPSS 1.6%CVE-2025-15403CRITICALRegistrationMagic <= 6.0.7.1 - Unauthenticated Privilege Escalation via admin_orderEPSS 1.6%CVE-2022-1654HIGHJupiter Theme <= 6.10.1 and JupiterX Core Plugin <= 2.0.7 - Authenticated Privilege EscalationEPSS 1.6%CVE-2025-59247HIGHAzure PlayFab Elevation of Privilege VulnerabilityEPSS 1.5%CVE-2023-49232CRITICALAn authentication bypass vulnerability was found in Stilog Visual Planning 8. It allows an unauthenticated attacker to brute-force the passwEPSS 1.5%CVE-2020-24678HIGHPotential Privilege Escalation in Symphony PlusEPSS 1.5%CVE-2021-24602—HM Multiple Roles < 1.3 - Arbitrary Role ChangeEPSS 1.5%CVE-2026-46333HIGHptrace: slightly saner 'get_dumpable()' logicEPSS 1.5%CVE-2026-12394CRITICALMemberGlut < 1.1.5 - Unauthenticated Privilege Escalation to AdministratorEPSS 1.5%CVE-2020-8223—A logic error in Nextcloud Server 19.0.0 caused a privilege escalation allowing malicious users to reshare with higher permissions than theyEPSS 1.5%CVE-2023-27645CRITICALAn issue found in POWERAMP audioplayer build 925 bundle play and build 954 allows a remote attacker to gain privileges via the reverb and EQEPSS 1.5%CVE-2019-11280HIGHPrivilege escalation through the invitations serviceEPSS 1.5%CVE-2024-33775HIGHAn issue with the Autodiscover component in Nagios XI 2024R1.01 allows a remote attacker to escalate privileges via a crafted Dashlet.EPSS 1.4%CVE-2022-31166HIGHXWiki.WebHome vulnerable to Improper Privilege Management in XWiki resolving groupsEPSS 1.4%CVE-2024-28247HIGHPihole Authenticated Arbitrary File Read with root privilegesEPSS 1.4%CVE-2020-36542HIGHDemokratian install3.php privileges managementEPSS 1.4%CVE-2024-8068MEDIUMPrivilege escalation to NetworkService Account accessEPSS 1.4%KEVCVE-2022-2317—Simple Membership < 4.1.3 - Unauthenticated Membership Privilege EscalationEPSS 1.4%