Falhas do tipo CWE-269

2.492 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2026-17472CRITICALMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.4%CVE-2024-11951CRITICALHomey Login Register <= 2.4.0 - Unauthenticated Privilege Escalation in homey_registerEPSS 0.4%CVE-2026-53515HIGHBetter Auth: Privilege escalation via SSO provider registration: missing admin role check in @better-auth/ssoEPSS 0.4%CVE-2024-12281CRITICALHomey <= 2.4.2 - Unauthenticated Privilege Escalation in homey_save_profileEPSS 0.4%CVE-2026-16149HIGHSecurity Hardener <= 2.4.4 - Authenticated (Subscriber+) Privilege Escalation via REST API '/wp/v2/users' permission_callback OverwriteEPSS 0.4%CVE-2024-13058MEDIUMAuthenticated, non-admin users can create storage pools via the sifi APIEPSS 0.4%CVE-2025-3852HIGHWPshop 2 – E-Commerce 2.0.0 - 2.6.0 - Authenticated (Subscriber+) Privilege Escalation via Account TakeoverEPSS 0.4%CVE-2026-60567CRITICALVulnerability in the Oracle Identity Manager product of Oracle Fusion Middleware (component: OIM Legacy UI). Supported versions that are afEPSS 0.4%CVE-2026-27198HIGHFormwork Improperly Manages Privileges During User CreationEPSS 0.4%CVE-2026-36425MEDIUMAn issue in OPSWAT AppRemover Driver (ardrv.sys) v2017.10.02.1551 and earlier in IOCTL handler 0x2420031. Any local user can open the deviceEPSS 0.4%CVE-2026-50774CRITICALAn issue in GAPTEQ Designer v.3.5 allows a remote attacker to escalate privileges via the Company Manger role.EPSS 0.4%CVE-2024-3057CRITICALA flaw exists whereby a user can make a specific call to a FlashArray endpoint allowing privilege escalation.EPSS 0.4%CVE-2022-4808MEDIUMImproper Privilege Management in usememos/memosEPSS 0.4%CVE-2024-13343HIGHWooCommerce Customers Manager <= 31.3 - Missing Authorization to Authenticated (Subscriber+) Privilege EscalationEPSS 0.4%CVE-2026-76694MEDIUMAuthenticated Privilege Escalation Vulnerability in the Command Line Interface of HPE Networking EdgeConnect SD-WAN GatewaysEPSS 0.4%CVE-2023-46771HIGHSecurity vulnerability in the face unlock module. Successful exploitation of this vulnerability may affect service confidentiality.EPSS 0.4%CVE-2025-67727MEDIUMParse Server GitHub CI workflow vulnerable to RCE through Improper Privilege ManagementEPSS 0.4%CVE-2024-39633HIGHWordPress PowerPack for Beaver Builder plugin <= 2.33.0 - Contributor+ Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-37107HIGHWordPress WishList Member X plugin < 3.26.7 - Authenticated Privilege Escalation vulnerabilityEPSS 0.4%CVE-2023-32194HIGHRancher permissions on 'namespaces' in any API group grants 'edit' permissions on namespaces in 'core'EPSS 0.4%