Falhas do tipo CWE-283

36 resultados

Propriedade não verificada

A aplicação assume que um recurso, arquivo ou objeto pertence a um usuário sem validar efetivamente essa propriedade. Um atacante pode acessar, modificar ou deletar recursos de outros usuários porque o código não confirma se quem está fazendo a requisição é realmente o proprietário.

Exemplo

Um sistema de documentos permite deletar arquivo via GET /delete?file_id=123, mas não valida se o usuário logado é o criador do arquivo. Um atacante consegue descobrir IDs de documentos de outros usuários e deletá-los acessando a URL diretamente.

Como mitigar

Sempre validar propriedade antes de qualquer operação: verificar se user_id do recurso coincide com user_id da sessão autenticada. Usar IDs opacos (UUIDs) para documentos em vez de sequenciais, e nunca confiar em parâmetros do cliente para confirmar permissão.

CVE-2026-29788HIGHTSPortal: Anyone can forge self-deletion requests of any userEPSS 0.3%CVE-2026-44562MEDIUMOpen WebUI: Model Import Overwrites Any Model Without Ownership CheckEPSS 0.3%CVE-2026-4269MEDIUMImproper S3 ownership verification in Bedrock AgentCore Starter ToolkitEPSS 0.3%CVE-2026-0598MEDIUMAnsible-lightspeed: broken object level authorization leading to cross-user ai conversation context injection in ansible lightspeed apiEPSS 0.2%CVE-2025-9822MEDIUMSecret data extraction via elfinderEPSS 0.2%CVE-2026-93853HIGHBarman snapshot backup deletion trusts unverified backup catalog metadataEPSS 0.2%CVE-2024-1853MEDIUMZemana AntiLogger v2.74.204.664 - Arbitrary Process TerminationEPSS 0.2%CVE-2026-54467HIGHOn the Trusted Firmware-M (TF-M) 2 through 2.3.0 platform before 00d1b3e, mailbox initialization on PSOC64 and RP2350 accepts a non-secure, EPSS 0.2%CVE-2026-118029MEDIUMUnverified ownership of the default Athena query result location in AWS SDK for pandasEPSS 0.2%CVE-2025-24890MEDIUMgix-sec safe.directory protections absent for elevated administratorsEPSS 0.2%CVE-2026-40337MEDIUMSentry kernel has incomplete ownership check for IRQ line manipulationEPSS 0.2%CVE-2026-110237HIGHVifm 0.8.1-beta through 0.14.4 Unverified IPC FIFO Ownership Allows Cross-User Command ExecutionEPSS 0.1%CVE-2026-112911MEDIUMfilelock: StrictSoftFileLock and SoftReadWriteLock adopt a protocol directory another user created first, losing mutual exclusionEPSS 0.1%CVE-2026-84386MEDIUMA unverified ownership vulnerability in Fortinet FortiClientWindows 7.4.0 through 7.4.7, FortiClientWindows 7.2 all versions may allow attacEPSS 0.1%CVE-2025-43882HIGHDell ThinOS 10, versions prior to 2508_10.0127, contains an Unverified Ownership vulnerability. A local low-privileged attacker could potentEPSS 0.1%CVE-2026-15599LOWArbitrary Process Termination in TÜBİTAK BİLGEM's pardus-domain-joinerEPSS 0.1%