Fallos del tipo CWE-669

88 resultados

Transferência incorreta de recurso entre contextos de segurança

Ocorre quando um recurso (arquivo, conexão, memória, token) é movido ou compartilhado entre contextos de segurança diferentes sem validação ou isolamento adequado. Um código pode transferir um recurso de um contexto protegido para um contexto menos confiável, expondo-o a acesso não autorizado ou manipulação.

Ejemplo

Uma aplicação web recebe um arquivo de um usuário autenticado, valida-o como seguro, mas depois o armazena em um diretório acessível ao servidor web que roda com menos privilégios. Um outro processo ou usuário consegue acessar ou modificar esse arquivo porque o contexto de segurança original foi perdido durante a transferência.

Cómo mitigar

Mantenha a validação e as restrições de segurança do recurso durante toda sua transferência entre contextos. Use mecanismos como ACLs apropriadas, validação em cada fronteira de segurança, isolamento de processos, e evite confiar em estado de segurança anterior — revalide a cada transição.

CVE-2026-122124MEDIUMOn Yealink UVC40 E2 devices before 319.410.0.71, an attacker with short-term physical access can steal Wi‑Fi credentials via the USB interfaEPSS 0.1%CVE-2026-40225MEDIUMIn udev in systemd before 260, local root execution can occur via malicious hardware devices and unsanitized kernel output.EPSS 0.1%CVE-2025-59378MEDIUMIn guix-daemon in GNU Guix before 1618ca7, a content-addressed-mirrors file can be written to create a setuid program that allows a regular EPSS 0.1%CVE-2026-103106HIGHPexip Infinity before 38.2, plus 39.0, 39.1, and 40.0, is affected by improper input validation within an internal Pexip Infinity service thEPSS 0.1%CVE-2026-106553LOWIn sshd in OpenSSH before 10.6, credentials can incorrectly persist after failure of a GSSAPIAuthentication authentication attempt.EPSS 0.1%CVE-2026-106555LOWIn sshd in OpenSSH before 10.6, GSSAPIAuthentication authentication state can incorrectly be persisted across authentication attempts.EPSS 0.1%CVE-2026-41525MEDIUMKDE Dolphin before 25.12.3 allows applications in a Flatpak (or with AppArmor confinement) to open folders outside of the application sandboEPSS 0.1%CVE-2026-47574HIGHNVIDIA vGPU Virtual GPU Manager for Linux contains a vulnerability where an attacker could cause incorrect resource transfer between spheresEPSS 0.1%