Falhas do tipo CWE-269

2.509 resultados

Controle de privilégios inadequado ou ausente

A aplicação falha em validar, atribuir ou manter corretamente os privilégios de um usuário ou processo, permitindo que ele acesse recursos ou execute ações além do que deveria. Isso ocorre quando o controle de acesso é ausente, inconsistente ou não é verificado em todos os pontos críticos do código.

Exemplo

Um usuário comum consegue acessar um endpoint de administração porque a aplicação não valida se ele tem permissão, ou um processo web consegue ler arquivos do sistema que deveriam estar restritos apenas ao root — em ambos os casos, o código simplesmente não conferiu os privilégios antes de executar a operação.

Como mitigar

Implemente verificações de autorização em cada operação sensível (acesso a dados, mudança de configurações, etc.), use um modelo de privilégios bem definido (RBAC, ABAC), e verifique permissões de forma centralizada — nunca confie apenas em frontend ou em ausência de validação. Mantenha auditoria de quem fez o quê e quando.

CVE-2026-22804HIGHTermix has a Stored XSS in File Manager leading to Local File Inclusion (LFI) in Electron and Session Hijacking in BrowserEPSS 0.2%CVE-2022-44733HIGHLocal privilege escalation due to insecure folder permissions. The following products are affected: Acronis Cyber Protect Home Office (WindoEPSS 0.2%CVE-2022-20360MEDIUMIn setChecked of SecureNfcPreferenceController.java, there is a missing permission check. This could lead to local escalation of privilege fEPSS 0.2%CVE-2025-24119HIGHThis issue was addressed through improved state management. This issue is fixed in macOS Sequoia 15.3, macOS Sonoma 14.7.7, macOS Ventura 13EPSS 0.2%CVE-2025-62592MEDIUMVulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions that are affected are 7.1.EPSS 0.2%CVE-2025-24258HIGHA permissions issue was addressed with additional restrictions. This issue is fixed in macOS Sequoia 15.4, macOS Sonoma 14.7.6, macOS VenturEPSS 0.2%CVE-2023-28737HIGHImproper initialization in some Intel(R) Aptio* V UEFI Firmware Integrator Tools may allow an authenticated user to potentially enable escalEPSS 0.2%CVE-2022-2249HIGHAvaya Aura Communication Manager Privilege Escalation VulnerabilitiesEPSS 0.2%CVE-2025-23007MEDIUMA vulnerability in the NetExtender Windows client log export function allows unauthorized access to sensitive Windows system files, potentiaEPSS 0.2%CVE-2023-3027HIGHThe grc-policy-propagator allows security escalation within the cluster. The propagator allows policies which contain some dynamically obtaiEPSS 0.2%CVE-2026-40317CRITICALNovumOS has Privilege Escalation in the Syscall InterfaceEPSS 0.2%CVE-2021-31836MEDIUMImproper Privilege Management in MA for WindowsEPSS 0.2%CVE-2026-30960CRITICALRSSN has Arbitrary Code Execution via Unvalidated JIT Instruction Generation in C-FFI InterfaceEPSS 0.2%CVE-2026-42289HIGHChurchCRM: Cross-Site Request Forgery (CSRF) Leading to Admin Privilege EscalationEPSS 0.2%CVE-2023-37907HIGHCryptomator's MSI installer allows local privilege escalationEPSS 0.2%CVE-2024-0819HIGHIncomplete protection of personal password settingsEPSS 0.2%CVE-2025-61786LOWDeno's --deny-read check does not prevent permission bypassEPSS 0.2%CVE-2021-27766MEDIUMHCL BigFix Platform Client is affected by a Privilege Escalation VulnerabilityEPSS 0.2%CVE-2021-27767MEDIUMHCL BigFix Platform Console is affected by a Privilege Escalation VulnerabilityEPSS 0.2%CVE-2024-2390HIGHLocal Privilege Escalation EPSS 0.2%