Fallos del tipo CWE-494

188 resultados

Escalação de privilégio

Fraqueza que permite a um atacante ou processo não-autorizado obter permissões superiores àquelas inicialmente concedidas. A aplicação falha em validar ou restringir adequadamente quem pode executar operações sensíveis, permitindo que um usuário comum acesse funcionalidades administrativas ou recursos protegidos.

Ejemplo

Um aplicativo web que não verifica se o usuário logado é realmente um administrador antes de processar requisições para deletar contas ou alterar configurações do sistema. Um atacante autenticado como usuário comum pode forjar uma requisição para /admin/delete-user e conseguir sucesso porque o servidor não valida o nível de privilégio.

Cómo mitigar

Implemente validação rigorosa de autorização em toda operação sensível (não confie apenas em ocultação de interfaces). Use controle de acesso baseado em papéis (RBAC) ou atributos (ABAC), verifique permissões no servidor a cada requisição, e mantenha logs de acessos privilegiados para auditoria.

CVE-2026-21810MEDIUMHCL BigFix Quantum Risk Analyzer is affected by a hardcoded external resource reference and downloading code without integrity checkingEPSS 0.1%CVE-2026-3428MEDIUMA Download of Code Without Integrity Check vulnerability in the update modules in ASUS Member Center(华硕大厅) allows a local user to achieve prEPSS 0.1%CVE-2026-0392HIGHeParakstītājs 3.0 for Windows – remote code execution via unauthenticated auto-updateEPSS 0.1%CVE-2025-66331LOWDenial of service (DoS) vulnerability in the office service. Impact: Successful exploitation of this vulnerability may affect availability.EPSS 0.1%CVE-2025-66333LOWDenial of service (DoS) vulnerability in the office service. Impact: Successful exploitation of this vulnerability may affect availability.EPSS 0.1%CVE-2025-66334LOWDenial of service (DoS) vulnerability in the office service. Impact: Successful exploitation of this vulnerability may affect availability.EPSS 0.1%CVE-2025-66332LOWDenial of service (DoS) vulnerability in the office service. Impact: Successful exploitation of this vulnerability may affect availability.EPSS 0.1%CVE-2026-96455HIGHReachy Mini daemon allows unauthenticated remote code execution through the app installation endpointEPSS —