Fallos del tipo CWE-269

2509 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2025-13619CRITICALFlex Store Users <= 1.1.0 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2025-8900CRITICALDoccure Core < 1.5.4 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2025-13542CRITICALDesignThemes LMS <= 1.0.4 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2026-14250MEDIUMThemehunk Login Registration <= 1.0.2 - Unauthenticated Privilege Escalation via 'role' ParameterEPSS 0.4%CVE-2024-22278MEDIUMHarbor fails to validate the user permissions when updating project configurationsEPSS 0.4%CVE-2025-47420HIGHUser Permissions on Network APIEPSS 0.4%CVE-2024-46916HIGHDiebold Nixdorf Vynamic Security Suite through 4.3.0 SR06 contains functionality that allows the removal of critical system files before theEPSS 0.4%CVE-2026-73723HIGHAuthenticated Privilege Escalation Leading to Unauthorized State Changes in HPE Networking Fabric Composer Web-Based Management InterfaceEPSS 0.4%CVE-2026-3621HIGHIBM WebSphere Application Server Liberty is affected by identity spoofingEPSS 0.4%CVE-2026-17950HIGHInappropriate implementation in Safebrowsing in Google Chrome on Mac prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary cEPSS 0.4%CVE-2024-37560HIGHWordPress WP User Switch plugin <= 1.1.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2022-0556HIGHA local privilege escalation vulnerability caused by incorrect permission assignment in some directories of the Zyxel AP Configurator (ZAC) EPSS 0.4%CVE-2023-52209HIGHWordPress WPForms User Registration plugin <= 2.1.0 - Authenticated Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-85514MEDIUMStackStorm st2 API Key auth.py privileges managementEPSS 0.4%CVE-2026-19005MEDIUMnanocoai NanoClaw Child-Agent Creation create-agent.ts handleCreateAgent privileges managementEPSS 0.4%CVE-2026-19007MEDIUMmf-yang openclaw-cn reply-elevated.ts isApprovedElevatedSender privileges managementEPSS 0.4%CVE-2024-11218HIGHPodman: buildah: container breakout by using --jobs=2 and a race condition when building a malicious containerfileEPSS 0.4%CVE-2026-73788MEDIUMPrivilege Escalation in ClearPass OnGuard AgentEPSS 0.4%CVE-2025-53105HIGHGLPI permits unauthorized rules execution orderEPSS 0.4%CVE-2026-66782MEDIUMSubmariner-operator: operator clusterrole grants cluster-wide create/update on all configmapsEPSS 0.4%