Falhas do tipo CWE-269

2.507 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2025-8899HIGHPaid Videochat Turnkey Site – HTML5 PPV Live Webcams <= 7.3.20 - Authenticated (Author+) Privilege EscalationEPSS 0.4%CVE-2024-42798HIGHAn Incorrect Access Control vulnerability was found in /music/index.php?page=user_list and /music/index.php?page=edit_user in Kashipara MusiEPSS 0.4%CVE-2021-23877MEDIUMMcAfee Total Protection (MTP) - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-13619CRITICALFlex Store Users <= 1.1.0 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2025-13542CRITICALDesignThemes LMS <= 1.0.4 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2025-8900CRITICALDoccure Core < 1.5.4 - Unauthenticated Privilege EscalationEPSS 0.4%CVE-2026-14250MEDIUMThemehunk Login Registration <= 1.0.2 - Unauthenticated Privilege Escalation via 'role' ParameterEPSS 0.4%CVE-2025-47420HIGHUser Permissions on Network APIEPSS 0.4%CVE-2024-22278MEDIUMHarbor fails to validate the user permissions when updating project configurationsEPSS 0.4%CVE-2026-73723HIGHAuthenticated Privilege Escalation Leading to Unauthorized State Changes in HPE Networking Fabric Composer Web-Based Management InterfaceEPSS 0.4%CVE-2024-46916HIGHDiebold Nixdorf Vynamic Security Suite through 4.3.0 SR06 contains functionality that allows the removal of critical system files before theEPSS 0.4%CVE-2023-41312—Permission control vulnerability in the audio module. Successful exploitation of this vulnerability may cause several apps to be activated aEPSS 0.4%CVE-2026-17950HIGHInappropriate implementation in Safebrowsing in Google Chrome on Mac prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary cEPSS 0.4%CVE-2026-3621HIGHIBM WebSphere Application Server Liberty is affected by identity spoofingEPSS 0.4%CVE-2026-85514MEDIUMStackStorm st2 API Key auth.py privileges managementEPSS 0.4%CVE-2026-19005MEDIUMnanocoai NanoClaw Child-Agent Creation create-agent.ts handleCreateAgent privileges managementEPSS 0.4%CVE-2026-19007MEDIUMmf-yang openclaw-cn reply-elevated.ts isApprovedElevatedSender privileges managementEPSS 0.4%CVE-2024-37560HIGHWordPress WP User Switch plugin <= 1.1.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2022-0556HIGHA local privilege escalation vulnerability caused by incorrect permission assignment in some directories of the Zyxel AP Configurator (ZAC) EPSS 0.4%CVE-2023-52209HIGHWordPress WPForms User Registration plugin <= 2.1.0 - Authenticated Privilege Escalation vulnerabilityEPSS 0.4%