Falhas do tipo CWE-269

2.785 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2017-20025HIGHSolare Solar-Log Flash Memory privileges managementEPSS 1.1%CVE-2021-23885CRITICALPrivilege escalation vulnerability in McAfee Web Gateway (MWG) UIEPSS 1.1%CVE-2021-3813MEDIUMImproper Privilege Management in chatwoot/chatwootEPSS 1.1%CVE-2025-29800HIGHMicrosoft AutoUpdate (MAU) Elevation of Privilege VulnerabilityEPSS 1.1%CVE-2022-35768HIGHWindows Kernel Elevation of Privilege VulnerabilityEPSS 1.1%CVE-2026-49819CRITICALUpSnap - Unauthenticated Initial-Superuser Takeover Chains to Root RCE via wake_cmdEPSS 1.1%CVE-2023-43317HIGHAn issue in Coign CRM Portal v.06.06 allows a remote attacker to escalate privileges via the userPermissionsList parameter in Session StoragEPSS 1.1%CVE-2023-27830CRITICALTightVNC before v2.8.75 allows attackers to escalate privileges on the host operating system via replacing legitimate files with crafted filEPSS 1.1%CVE-2022-32536HIGHPrivilege EscalationEPSS 1.1%CVE-2017-20111HIGHTeleopti WFM Administration privileges managementEPSS 1.1%CVE-2023-44809—D-Link device DIR-820L 1.05B03 is vulnerable to Insecure Permissions.EPSS 1.1%CVE-2021-23874HIGHMcAfee Total Protection (MTP) privilege escalation vulnerabilityEPSS 1.1%KEVCVE-2022-20347HIGHIn onAttach of ConnectedDeviceDashboardFragment.java, there is a possible permission bypass due to a confused deputy. This could lead to remEPSS 1.1%CVE-2023-22331HIGHUse of default credentials vulnerability in CONPROSYS HMI System (CHS) Ver.3.4.5 and earlier allows a remote unauthenticated attacker to altEPSS 1.1%CVE-2024-32418CRITICALAn issue in flusity CMS v2.33 allows a remote attacker to execute arbitrary code via the add_addon.php component.EPSS 1.1%CVE-2021-33538HIGHWEIDMUELLER: WLAN devices affected by improper access control vulnerabilityEPSS 1.0%CVE-2003-5001MEDIUMISS BlackICE PC Protection Cross Site Scripting Detection privileges managementEPSS 1.0%CVE-2023-26604HIGHsystemd before 247 does not adequately block local privilege escalation for some Sudo configurations, e.g., plausible sudoers files in whichEPSS 1.0%CVE-2020-12527MEDIUMImproper Access Validation in products of MB connect line and HelmholzEPSS 1.0%CVE-2023-25133CRITICALImproper privilege management vulnerability in CyberPower PowerPanel BusinessEPSS 1.0%