Fallos del tipo CWE-648

68 resultados

Uso Incorreto de APIs Privilegiadas

Ocorre quando código chama funções ou APIs que exigem privilégios elevados sem validar permissões, contexto de segurança ou parâmetros corretamente. O desenvolvedor assume que a API vai fazer a validação ou negligencia que a chamada acontece em contexto onde o acesso não deveria ser permitido, abrindo brechas para escalação de privilégio ou execução não autorizada.

Ejemplo

Um aplicativo de desktop chama uma API do Windows para deletar arquivos de sistema sem verificar se o usuário tem permissão administrativa, ou um serviço web invoca operações de banco de dados com privilégios de DBA sem autenticar quem fez a requisição. Em ambos, o atacante consegue executar ações que deveria estar impedido de fazer.

Cómo mitigar

Valide permissões e identidade do usuário antes de chamar qualquer API privilegiada. Use o princípio de menor privilégio (execute com apenas as permissões necessárias) e verifique o retorno de erros das APIs. Documente quais APIs usadas são sensíveis e exigem qual nível de privilégio.

CVE-2020-7927HIGHPotential privilege escalation in Ops Manager APIEPSS 1.0%CVE-2020-5291HIGHPrivilege escalation in setuid mode via user namespaces in BubblewrapEPSS 0.9%CVE-2023-29507CRITICALorg.xwiki.platform:xwiki-platform-oldcore makes Incorrect Use of Privileged APIs with DocumentAuthorsEPSS 0.9%CVE-2022-24821MEDIUMIncorrect Use of Privileged APIs in org.xwiki.platform.skin.skinxEPSS 0.8%CVE-2026-76460CRITICALCisco Identity Services Engine Authentication Bypass VulnerabilityEPSS 0.8%CVE-2023-28062HIGH Dell PPDM versions 19.12, 19.11 and 19.10, contain an improper access control vulnerability. A remote authenticated malicious user with lowEPSS 0.8%CVE-2023-4009HIGHPrivilege Escalation for Project Owner and Project User Admin Roles in Ops ManagerEPSS 0.8%CVE-2022-4796HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.8%CVE-2023-4972CRITICALInformation Disclosure in Digital YepasEPSS 0.7%CVE-2022-24071—A Built-in extension in Whale browser before 3.12.129.46 allows attackers to compromise the rendering process which could lead to controllinEPSS 0.7%CVE-2022-4687HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.6%CVE-2022-20965MEDIUMA vulnerability in the web-based management interface of Cisco Identity Services Engine could allow an authenticated, remote attacker to takEPSS 0.6%CVE-2023-6151HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2023-6150HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2022-24073—The Web Request API in Whale browser before 3.12.129.18 allowed to deny access to the extension store or redirect to any URL when users acceEPSS 0.6%CVE-2026-9560CRITICALPrivilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands wEPSS 0.6%CVE-2025-7344HIGHDigiwin｜EAI - Privilege EscalationEPSS 0.5%CVE-2024-46978MEDIUMMissing checks for notification filter preferences editions in XWiki PlatformEPSS 0.5%CVE-2023-20136MEDIUMA vulnerability in the OpenAPI of Cisco Secure Workload could allow an authenticated, remote attacker with the privileges of a read-only useEPSS 0.5%CVE-2022-4805HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.5%