Falhas do tipo CWE-269

2.793 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2023-44105—Vulnerability of permissions not being strictly verified in the window management module.Successful exploitation of this vulnerability may cEPSS 0.5%CVE-2026-73122HIGHMulticloud-operators-channel: multicloud-operators-channel: auto-generated role grants every managed-cluster agent secrets:get,list,watch in channel namespacesEPSS 0.5%CVE-2024-29150HIGHAn issue was discovered in Alcatel-Lucent ALE NOE deskphones through 86x8_NOE-R300.1.40.12.4180 and SIP deskphones through 86x8_SIP-R200.1.0EPSS 0.5%CVE-2026-97644HIGHGroundhogg <= 4.9 - Authenticated (Sales Person+) Privilege Escalation via Contact Identity Rebinding leading to Administrator Account Takeover to 'user_id' Parameter (v3 /contacts) chained with v4 /emails/testEPSS 0.5%CVE-2024-33872CRITICALKeyfactor Command 10.5.x before 10.5.1 and 11.5.x before 11.5.1 allows SQL Injection which could result in code execution and escalation of EPSS 0.5%CVE-2025-12882CRITICALClasifico Listing <= 2.0 - Unauthenticated Privilege EscalationEPSS 0.5%CVE-2022-42046HIGHwfshbr64.sys and wfshbr32.sys specially crafted IOCTL allows arbitrary user to perform local privilege escalationEPSS 0.5%CVE-2022-46327CRITICALSome smartphones have configuration issues. Successful exploitation of this vulnerability may cause privilege escalation, which results in sEPSS 0.5%CVE-2026-101466HIGHVulnerability in the Oracle EDI Gateway product of Oracle E-Business Suite (component: All Miscellaneous EDI Issues). Supported versions thEPSS 0.5%CVE-2026-102676HIGHElectron: <webview> can enable Node.js integration in Web Workers despite embedder restrictionsEPSS 0.5%CVE-2023-47683HIGHWordPress Social Login, Social Sharing by miniOrange plugin <= 7.6.6 - Authenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2022-48353CRITICALSome smartphones have configuration issues. Successful exploitation of this vulnerability may cause kernel privilege escalation, which resulEPSS 0.5%CVE-2026-52808HIGHGogs: Write-level collaborators can mutate admin-only repository settings via APIEPSS 0.5%CVE-2026-31070CRITICALThe LalanaChami Pharmacy Management System (commit 5c3d028) allows unauthenticated remote attackers to escalate privileges by self-assigningEPSS 0.5%CVE-2023-51479HIGHWordPress Build App Online plugin <= 1.0.19 - Authenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-5566MEDIUMImproper Privilege Management allows for access to unauthorized repository content during migrationEPSS 0.5%CVE-2024-33550HIGHWordPress WP Masquerade plugin <= 1.1.0 - Authenticated Account Takeover vulnerabilityEPSS 0.5%CVE-2023-47868HIGHWordPress wpForo plugin <= 2.2.3 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2012-10022HIGHKloxo <= 6.1.12 Local Privilege EscalationEPSS 0.5%CVE-2024-43311CRITICALWordPress Login As Users plugin <= 1.4.2 - Broken Authentication vulnerabilityEPSS 0.5%