Falhas do tipo CWE-269

2.803 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2025-21360HIGHMicrosoft AutoUpdate (MAU) Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-46970HIGHVulnerability in the Oracle HR Intelligence product of Oracle E-Business Suite (component: Internal Operations). Supported versions that arEPSS 0.5%CVE-2024-2005CRITICALSAML implementation allows privilege escalationEPSS 0.5%CVE-2026-18193HIGHIBM i Is Affected By Multiple Vulnerabilities in IBM Java SDK and IBM Java RuntimeEPSS 0.5%CVE-2026-15989CRITICALSuper Forms <= 6.3.316 - Unauthenticated Privilege Escalation via 'role' ParameterEPSS 0.5%CVE-2024-7960HIGHRockwell Automation Incorrect Privileges and Path Traversal Vulnerability in Pavilion8®EPSS 0.5%CVE-2025-3852HIGHWPshop 2 – E-Commerce 2.0.0 - 2.6.0 - Authenticated (Subscriber+) Privilege Escalation via Account TakeoverEPSS 0.5%CVE-2025-7784MEDIUMOrg.keycloak/keycloak-services: privilege escalation in keycloak admin console (fgapv2 enabled)EPSS 0.5%CVE-2024-43121CRITICALWordPress HUSKY plugin <= 1.3.6.1 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-31286MEDIUMAn HTML injection vulnerability previously discovered in Trend Vision One could have allowed a malicious user to execute arbitrary code. EPSS 0.5%CVE-2022-29614—SAP startservice - of SAP NetWeaver Application Server ABAP, Application Server Java, ABAP Platform and HANA Database - versions KERNEL 7.22EPSS 0.5%CVE-2022-23485MEDIUMInvite code reuse via cookie manipulation in sentryEPSS 0.5%CVE-2025-5931HIGHDokan Pro <= 4.0.5 - Authenticated (Vendor+) Privilege EscalationEPSS 0.5%CVE-2025-0177CRITICALJavo Core <= 3.0.0.080 - Unauthenticated Privilege Escalation in ajax_signupEPSS 0.5%CVE-2022-4808MEDIUMImproper Privilege Management in usememos/memosEPSS 0.4%CVE-2022-34706HIGHWindows Local Security Authority (LSA) Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2021-46894—Use After Free (UAF) vulnerability in the uinput module.Successful exploitation of this vulnerability may lead to kernel privilege escalatioEPSS 0.4%CVE-2026-9842HIGHBackstage <= 1.4.2 - Unauthenticated Privilege Escalation via Permissive Demo Role CapabilitiesEPSS 0.4%CVE-2024-8263MEDIUMAn improper privilege management vulnerability allowed arbitrary workflows to be committed using an improperly scoped PAT through the use ofEPSS 0.4%CVE-2026-85947CRITICALImproper privilege management in Progress MarkLogic Server forest operationsEPSS 0.4%