Fallos del tipo CWE-520

5 resultados

Configuração incorreta do .NET: uso inadequado de representação de identidade

A fraqueza ocorre quando uma aplicação .NET usa impersonação (técnica de assumir a identidade de outro usuário) de forma inadequada ou sem restrições apropriadas. Isso permite que um atacante execute código ou acesse recursos com privilégios de outro usuário, como administrador, contornando controles de acesso.

Ejemplo

Um serviço web .NET impersona automaticamente qualquer usuário que faz requisição sem validar permissões, ou mantém a impersonação ativa por mais tempo que o necessário. Um atacante pode explorar isso para executar operações críticas usando identidade privilegiada.

Cómo mitigar

Use impersonação apenas quando estritamente necessário e por escopo limitado (técnica de sanduíche: impersonate → operação → revert). Valide sempre que a impersonação é necessária, registre quem foi impersonado e por quê, e implemente controles de acesso granulares que não dependam apenas da identidade assumida.

CVE-2024-46943CRITICALAn issue was discovered in OpenDaylight Authentication, Authorization and Accounting (AAA) through 0.19.3. A rogue controller can join a cluEPSS 0.6%CVE-2026-2450HIGH.NET misconfiguration: use of impersonation vulnerability in upKeeper Solutions upKeeper Instant Privilege Access allows Hijacking a PrivileEPSS 0.3%CVE-2026-13444HIGHLangflow is affected by remote code execution, denial of service, path traversal, and exposed credentials due to multiple unauthenticated and insufficiently authorized API endpointsEPSS 0.2%CVE-2026-13442HIGHLangflow is affected by NET Misconfiguration: Use of Impersonation due to multiple unauthenticated and insufficiently authorized API endpointsEPSS 0.2%CVE-2019-25608HIGHIperius Backup 6.1.0 Privilege Escalation via Backup JobEPSS 0.1%