Falhas do tipo CWE-520

5 resultados

Configuração incorreta de representação de identidade no .NET

Quando uma aplicação .NET usa impersonação (suplantação de identidade) de forma inadequada ou sem os devidos controles, ela pode executar operações com privilégios além do necessário ou com a identidade errada. Isso acontece quando o código assume a identidade de outro usuário (geralmente com mais permissões) sem validar contexto, expiração ou escopo — criando risco de escalação de privilégio ou acesso não autorizado a recursos.

Exemplo

Uma aplicação web em ASP.NET impersona um usuário administrativo para acessar um banco de dados, mas deixa essa representação ativa durante toda a requisição — se um plugin ou código de terceiros for executado nesse contexto, ele também herdará os privilégios do admin, mesmo não devendo.

Como mitigar

Limite o tempo e escopo da impersonação: use blocos try-finally ou using() para garantir que a representação seja desfeita imediatamente após a operação necessária. Valide sempre qual identidade será impersonada e registre essas operações em logs de auditoria. Evite impersonar contas com privilégios desnecessários — use contas com menor privilégio possível.

CVE-2024-46943CRITICALAn issue was discovered in OpenDaylight Authentication, Authorization and Accounting (AAA) through 0.19.3. A rogue controller can join a cluEPSS 0.6%CVE-2026-2450HIGH.NET misconfiguration: use of impersonation vulnerability in upKeeper Solutions upKeeper Instant Privilege Access allows Hijacking a PrivileEPSS 0.3%CVE-2026-13444HIGHLangflow is affected by remote code execution, denial of service, path traversal, and exposed credentials due to multiple unauthenticated and insufficiently authorized API endpointsEPSS 0.2%CVE-2026-13442HIGHLangflow is affected by NET Misconfiguration: Use of Impersonation due to multiple unauthenticated and insufficiently authorized API endpointsEPSS 0.2%CVE-2019-25608HIGHIperius Backup 6.1.0 Privilege Escalation via Backup JobEPSS 0.1%