Falhas do tipo CWE-269

2.795 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2024-1505HIGHAcademy LMS – eLearning and online course solution for WordPress <= 1.9.19 - Authenticated (Subscriber+) Privilege EscalationEPSS 0.8%CVE-2022-42888CRITICALWordPress ARMember Plugin <= 5.5.1 is vulnerable to Privilege EscalationEPSS 0.8%CVE-2023-23610MEDIUMglpi vulnerable to Unauthorized access to data exportEPSS 0.8%CVE-2023-4239HIGHReal Estate Manager <= 7.2 - Arbitrary Usermeta Update to Authenticated (Subscriber+) Privilege EscalationEPSS 0.8%CVE-2023-0959MEDIUMBhima version 1.27.0 allows a remote attacker to update the privileges of any account registered in the application via a malicious link senEPSS 0.7%CVE-2026-22238CRITICALAdministrator Account Creation Vulnerability in BLUVOYIXEPSS 0.7%CVE-2024-48903HIGHAn improper access control vulnerability in Trend Micro Deep Security Agent 20 could allow a local attacker to escalate privileges on affectEPSS 0.7%CVE-2026-27208CRITICALapi-gateway-deploy Affected by Exploitable Command Injection via Unprivileged Root ExecutionEPSS 0.7%CVE-2026-75166HIGHInsecure Permission vulnerability in MBS-Solutions X-Serie Gateway firmware V6_00_05 allows the low-privileged service user to execute /usr/EPSS 0.7%CVE-2026-14262HIGHSimple JWT Login <= 3.6.6 - Authenticated (Subscriber+) Authentication Bypass to Privilege Escalation via 'payload' ParameterEPSS 0.7%CVE-2023-37917CRITICALPrivilege Escalation in kubepiEPSS 0.7%CVE-2026-72830HIGHGrav API Plugin before 1.0.13 RCE via ConfigController scope bypassEPSS 0.7%CVE-2025-29165CRITICALAn issue in D-Link DIR-1253 MESH V1.6.1684 allows an attacker to escalate privileges via the etc/shadow.sample componentEPSS 0.7%CVE-2022-35243HIGHAuthenticated iControl REST in Appliance mode vulnerability CVE-2022-35243EPSS 0.7%CVE-2026-22721MEDIUMVMware Aria Operations privilege escalation vulnerabilityEPSS 0.7%CVE-2026-6226HIGHFrontend Admin by DynamiApps <= 3.29.2 - Unauthenticated Privilege Escalation via Form Configuration InjectionEPSS 0.7%CVE-2017-20038MEDIUMSICUNET Access Controller card_scan_decoder.php privileges managementEPSS 0.7%CVE-2026-107622CRITICALBuddyForms <= 2.10.5 - Unauthenticated Privilege Escalation to Form-Type Confusion via 'bf_post_type' ParameterEPSS 0.7%CVE-2026-17145CRITICALVulnerabilities in IBM AIX and PowerVM VIOSEPSS 0.7%CVE-2023-41807CRITICALLinux Local Privilege Escalation Via GoTTY PageEPSS 0.7%