Falhas do tipo CWE-269

2.795 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2022-4314MEDIUMImproper Privilege Management in ikus060/rdiffwebEPSS 0.8%CVE-2023-0101HIGHA privilege escalation vulnerability was identified in Nessus versions 8.10.1 through 8.15.8 and 10.0.0 through 10.4.1. An authenticated attEPSS 0.8%CVE-2017-20070MEDIUMHindu Matrimonial Script communitymanagement.php privileges managementEPSS 0.8%CVE-2017-20077MEDIUMHindu Matrimonial Script success_story.php privileges managementEPSS 0.8%CVE-2017-20072MEDIUMHindu Matrimonial Script generalsettings.php privileges managementEPSS 0.8%CVE-2017-20069MEDIUMHindu Matrimonial Script countrymanagement.php privileges managementEPSS 0.8%CVE-2017-20074MEDIUMHindu Matrimonial Script newsletter1.php privileges managementEPSS 0.8%CVE-2017-20080MEDIUMHindu Matrimonial Script googleads.php privileges managementEPSS 0.8%CVE-2017-20078MEDIUMHindu Matrimonial Script featured.php privileges managementEPSS 0.8%CVE-2017-20071MEDIUMHindu Matrimonial Script renewaldue.php privileges managementEPSS 0.8%CVE-2017-20081MEDIUMHindu Matrimonial Script reports.php privileges managementEPSS 0.8%CVE-2017-20068MEDIUMHindu Matrimonial Script usermanagement.php privileges managementEPSS 0.8%CVE-2017-20079MEDIUMHindu Matrimonial Script photo.php privileges managementEPSS 0.8%CVE-2017-20073MEDIUMHindu Matrimonial Script cms.php privileges managementEPSS 0.8%CVE-2017-20075MEDIUMHindu Matrimonial Script payment.php privileges managementEPSS 0.8%CVE-2017-20076MEDIUMHindu Matrimonial Script searchview.php privileges managementEPSS 0.8%CVE-2026-18432CRITICALFrontend Admin by DynamiApps <= 3.29.9 - Unauthenticated Privilege Escalation via 'item_id' ParameterEPSS 0.8%CVE-2026-104748CRITICALSimpleForm <= 3.10.0 - Unauthenticated Privilege Escalation to wp_capabilities Mass Assignment via simpleform_wp_registerEPSS 0.8%CVE-2024-57602CRITICALAn issue in Alex Tselegidis EasyAppointments v.1.5.0 allows a remote attacker to escalate privileges via the index.php file.EPSS 0.8%CVE-2021-25508MEDIUMImproper privilege management vulnerability in API Key used in SmartThings prior to 1.7.73.22 allows an attacker to abuse the API key withouEPSS 0.8%