Fallos del tipo CWE-283

36 resultados

Propriedade não verificada

Uma aplicação assume que um recurso (arquivo, diretório, processo, conexão) pertence a quem deveria, sem validar de fato. Isso permite que um atacante substitua o recurso por outro sob seu controle e execute ações com privilégios maiores ou acesse dados sensíveis.

Ejemplo

Um script administrativo tenta modificar um arquivo de configuração em /tmp/config.ini sem verificar quem o criou ou se é um link simbólico. Um usuário malicioso cria um link para /etc/passwd apontado por esse caminho, e o script sobrescreve o arquivo do sistema com dados controlados pelo atacante.

Cómo mitigar

Sempre valide propriedade e permissões antes de operar um recurso: use fstat() ou stat() para verificar UID/GID, evite /tmp para arquivos críticos, e desabilite seguimento de symlinks em operações sensíveis. Aplique princípio do menor privilégio ao executar código que manipula recursos.

CVE-2026-29788HIGHTSPortal: Anyone can forge self-deletion requests of any userEPSS 0.3%CVE-2026-44562MEDIUMOpen WebUI: Model Import Overwrites Any Model Without Ownership CheckEPSS 0.3%CVE-2026-4269MEDIUMImproper S3 ownership verification in Bedrock AgentCore Starter ToolkitEPSS 0.3%CVE-2026-0598MEDIUMAnsible-lightspeed: broken object level authorization leading to cross-user ai conversation context injection in ansible lightspeed apiEPSS 0.2%CVE-2025-9822MEDIUMSecret data extraction via elfinderEPSS 0.2%CVE-2026-93853HIGHBarman snapshot backup deletion trusts unverified backup catalog metadataEPSS 0.2%CVE-2024-1853MEDIUMZemana AntiLogger v2.74.204.664 - Arbitrary Process TerminationEPSS 0.2%CVE-2026-54467HIGHOn the Trusted Firmware-M (TF-M) 2 through 2.3.0 platform before 00d1b3e, mailbox initialization on PSOC64 and RP2350 accepts a non-secure, EPSS 0.2%CVE-2026-118029MEDIUMUnverified ownership of the default Athena query result location in AWS SDK for pandasEPSS 0.2%CVE-2025-24890MEDIUMgix-sec safe.directory protections absent for elevated administratorsEPSS 0.2%CVE-2026-40337MEDIUMSentry kernel has incomplete ownership check for IRQ line manipulationEPSS 0.2%CVE-2026-110237HIGHVifm 0.8.1-beta through 0.14.4 Unverified IPC FIFO Ownership Allows Cross-User Command ExecutionEPSS 0.1%CVE-2026-112911MEDIUMfilelock: StrictSoftFileLock and SoftReadWriteLock adopt a protocol directory another user created first, losing mutual exclusionEPSS 0.1%CVE-2026-84386MEDIUMA unverified ownership vulnerability in Fortinet FortiClientWindows 7.4.0 through 7.4.7, FortiClientWindows 7.2 all versions may allow attacEPSS 0.1%CVE-2025-43882HIGHDell ThinOS 10, versions prior to 2508_10.0127, contains an Unverified Ownership vulnerability. A local low-privileged attacker could potentEPSS 0.1%CVE-2026-15599LOWArbitrary Process Termination in TÜBİTAK BİLGEM's pardus-domain-joinerEPSS 0.1%