Falhas do tipo CWE-367

799 resultados

Condição de corrida entre verificação e uso (TOCTOU)

A aplicação verifica uma condição (ex: arquivo existe, usuário tem permissão) e depois atua sobre ela, mas entre a verificação e a ação outro processo pode alterar o estado. Um atacante explora esse intervalo para burlar controles de segurança ou acessar recursos que não deveria.

Exemplo

Um programa verifica se um arquivo é seguro para ler (if (arquivo_existe && nao_eh_symlink)), depois abre e processa. Um atacante substitui o arquivo por um symlink apontando para /etc/passwd entre a verificação e a leitura, conseguindo acessar dados sensíveis.

Como mitigar

Use operações atômicas do SO (open com flags O_NOFOLLOW, O_EXCL; fstat em vez de stat; operações que verificam e atuam em uma única chamada). Implemente locks/mutexes se lógica complexa for necessária, e valide o estado novamente após adquirir recurso.

CVE-2026-79089MEDIUMRace condition in Transactions Platform in Google Chrome on on Android prior to 152.0.7977.65 allowed a remote attacker leveraging social enEPSS 0.2%CVE-2026-50673HIGHWindows Kernel Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2026-108396HIGHWindows Modern Device Management (MDM) Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2026-85879HIGHWindows Subsystem for Linux Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2026-85943HIGHReliable Multicast Transport Driver (RMCAST) Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2026-107276MEDIUMMISP Email OTP Race Condition Allows One-Time Password to Be Consumed by Multiple Concurrent RequestsEPSS 0.2%CVE-2022-36927HIGHLocal Privilege Escalation in Zoom Rooms for macOS ClientsEPSS 0.2%CVE-2026-79267MEDIUMRace condition in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypaEPSS 0.2%CVE-2026-54353HIGHBudibase: Potential SSRF DNS rebinding bypass in outbound fetch validationEPSS 0.2%CVE-2026-35202LOWPterodactyl has a database resource limit bypass via race condition in Client APIEPSS 0.2%CVE-2026-82238LOWfilebrowser 2.24.0 Race Condition via TUS concurrent PATCH uploadsEPSS 0.2%CVE-2025-59497HIGHMicrosoft Defender for Linux Denial of Service VulnerabilityEPSS 0.2%CVE-2022-23653MEDIUMB2 Command Line Tool TOCTOU application key disclosure EPSS 0.2%CVE-2023-1586MEDIUMAvast and AVG Antivirus for Windows were susceptible to a Time-of-check/Time-of-use (TOCTOU) vulnerability in the restore process leading tEPSS 0.2%CVE-2026-26206MEDIUMWazuh: API brute-force protection bypass via race condition in login attempt trackingEPSS 0.2%CVE-2026-4878MEDIUMLibcap: libcap: privilege escalation via toctou race condition in cap_set_file()EPSS 0.2%CVE-2026-62840HIGHLinux Kernel Elevation of Privilege VulnerabilityEPSS 0.2%CVE-2025-58407HIGHGPU DDK - TOCTOU bug affecting psFWMemContext->uiPageCatBaseRegSetEPSS 0.2%CVE-2026-23988HIGHRufus has Local Privilege Escalation via TOCTOU Race Condition in Fido Script HandlingEPSS 0.2%CVE-2026-113164HIGHRace condition in Voice in Google Chrome on on Android prior to 156.0.8078.47 allowed a local attacker to bypass system access restrictions EPSS 0.2%