Falhas do tipo CWE-269

2.803 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2024-34146MEDIUMJenkins Git server Plugin 114.v068a_c7cc2574 and earlier does not perform a permission check for read access to a Git repository over SSH, aEPSS 0.5%CVE-2024-9518CRITICALUserPlus <= 2.0 - Unauthenticated Privilege EscalationEPSS 0.5%CVE-2023-33327HIGHWordPress Leyka plugin <= 3.30.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2023-50921CRITICALAn issue was discovered on GL.iNet devices through 4.5.0. Attackers can invoke the add_user interface in the system module to gain root privEPSS 0.5%CVE-2023-36496HIGHDelegated Admin Virtual Attribute Provider Privilege EscalationEPSS 0.5%CVE-2022-3068MEDIUMImproper Privilege Management in octoprint/octoprintEPSS 0.5%CVE-2023-4607HIGHAn authenticated XCC user can change permissions for any user through a crafted API command.EPSS 0.5%CVE-2026-8980CRITICALPrivilege EscalationEPSS 0.5%CVE-2020-13516MEDIUMAn information disclosure vulnerability exists in the WinRing0x64 Driver IRP 0x9c406144 functionality of NZXT CAM 4.8.0. A specially craftedEPSS 0.5%CVE-2020-13518MEDIUMAn information disclosure vulnerability exists in the WinRing0x64 Driver IRP 0x9c402084 functionality of NZXT CAM 4.8.0. A specially craftedEPSS 0.5%CVE-2024-43403HIGHKanister has a potential risk which can be leveraged to make a cluster-level privilege escalationEPSS 0.5%CVE-2020-13511MEDIUMAn information disclosure vulnerability exists in the WinRing0x64 Driver Privileged I/O Read IRPs functionality of NZXT CAM 4.8.0. A specialEPSS 0.5%CVE-2026-94609HIGHauthentik: Privilege Escalation to Superuser via Group HierarchyEPSS 0.5%CVE-2026-113947HIGHThis issue was addressed with improved access restrictions. This issue is fixed in macOS Golden Gate 27.2. Unpacking a maliciously crafted aEPSS 0.5%CVE-2026-14956CRITICALBricksforge <= 3.1.8.6 - Unauthenticated Privilege Escalation via Pro Forms fieldIds ParameterEPSS 0.5%CVE-2026-9055CRITICALBooking for Appointments and Events Calendar – Amelia (Premium) 8.0 - 9.6.2 - Unauthenticated Privilege Escalation to Administrator via 'externalId'EPSS 0.5%CVE-2026-12793CRITICALJetFormBuilder <= 3.6.2 - Unauthenticated Privilege Escalation via '_jet_engine_booking_form_id' ParameterEPSS 0.5%CVE-2022-45451HIGHLocal privilege escalation due to insecure driver communication port permissions. The following products are affected: Acronis Cyber ProtectEPSS 0.5%CVE-2026-84795CRITICALCraft CMS before 5.10.11 Authentication Bypass via Admin Flag InheritanceEPSS 0.5%CVE-2024-33549HIGHWordPress WZone plugin <= 14.0.10 - Privilege Escalation vulnerabilityEPSS 0.5%