Fallos del tipo CWE-269

2822 resultados

Gestão inadequada de privilégios

A aplicação não controla corretamente quais permissões um usuário ou processo possui, permitindo que ele acesse, modifique ou execute ações além do que deveria. Isso acontece quando a lógica de verificação de privilégios é fraca, ausente ou implementada de forma inconsistente, criando brechas onde um ator com poucos direitos consegue agir como se tivesse privilégios administrativos.

Ejemplo

Um sistema web onde o controle de acesso verifica se o usuário é admin apenas na tela inicial, mas não valida novamente ao processar requisições diretas de API. Um usuário comum consegue chamar endpoints administrativos diretamente, contornando a verificação.

Cómo mitigar

Implemente verificação de privilégios em **toda** operação sensível, não apenas na apresentação — valide no backend antes de executar qualquer ação. Use um modelo de controle de acesso consistente (RBAC ou ABAC), aplique o princípio do privilégio mínimo e revise regularmente quem tem acesso ao quê.

CVE-2023-43457—An issue in Service Provider Management System v.1.0 allows a remote attacker to gain privileges via the ID parameter in the /php-spms/adminEPSS 1.4%CVE-2022-26676CRITICALaEnrich a+HRD - Broken Access ControlEPSS 1.4%CVE-2020-8247—Citrix ADC and Citrix Gateway 13.0 before 13.0-64.35, Citrix ADC and NetScaler Gateway 12.1 before 12.1-58.15, Citrix ADC 12.1-FIPS before 1EPSS 1.4%CVE-2020-15368MEDIUMAsrDrv103.sys in the ASRock RGB Driver does not properly restrict access from user space, as demonstrated by triggering a triple fault via aEPSS 1.3%CVE-2023-6507MEDIUMGroups not dropped before running subprocess when using empty 'extra_groups' parameterEPSS 1.3%CVE-2024-31141MEDIUMApache Kafka Clients: Privilege escalation to filesystem read-access via automatic ConfigProviderEPSS 1.3%CVE-2026-7467HIGHRead More & Accordion <= 3.5.7 - Privilege Escalation via importDataEPSS 1.3%CVE-2022-43138CRITICALDolibarr Open Source ERP & CRM for Business before v14.0.1 allows attackers to escalate privileges via a crafted API.EPSS 1.3%CVE-2022-29218HIGHUnauthorized takeover for new versions of some platform-specific gemsEPSS 1.3%CVE-2019-25071MEDIUMApple iOS Siri Self privileges managementEPSS 1.3%CVE-2023-3467HIGHPrivilege Escalation to root administrator (nsroot) EPSS 1.3%CVE-2020-8021MEDIUMunauthorized read access to files where sourceaccess is disabled via a crafted _service file in Open Build ServiceEPSS 1.3%CVE-2018-11614—This vulnerability allows remote attackers to escalate privileges on vulnerable installations of Samsung Members Fixed in version 2.4.25. AnEPSS 1.3%CVE-2023-31062CRITICALApache InLong: Privilege escalation vulnerability for InLongEPSS 1.3%CVE-2026-85979HIGHCommand Injection in Puppet EnterpriseEPSS 1.3%CVE-2021-1400HIGHCisco Small Business 100, 300, and 500 Series Wireless Access Points VulnerabilitiesEPSS 1.3%CVE-2022-41032HIGHNuGet Client Elevation of Privilege VulnerabilityEPSS 1.3%CVE-2024-8533HIGHRockwell Automation OptixPanel™ Privilege Escalation Vulnerability via File PermissionsEPSS 1.3%CVE-2017-0934—Ubiquiti Networks EdgeOS version 1.9.1 and prior suffer from an Improper Privilege Management vulnerability due to the lack of protection ofEPSS 1.3%CVE-2020-8258—Improper privilege management on services run by Citrix Gateway Plug-in for Windows, versions before and including 13.0-61.48 and 12.1-58.15EPSS 1.3%