Falhas do tipo CWE-648

67 resultados

Uso incorreto de APIs privilegiadas

Ocorre quando o código invoca funções do sistema operacional ou framework com poderes elevados (root, admin, capacidades especiais) sem validação adequada dos parâmetros de entrada, ou sem verificar se o contexto realmente justifica esse privilégio. O atacante explora a confiança da aplicação em dados não sanitizados para executar operações que deveriam estar protegidas.

Exemplo

Uma aplicação web chama execSQL() com privilégios de administrador de banco de dados, passando diretamente um parâmetro do usuário sem validação. Alguém injeta SQL malicioso que modifica dados críticos ou deleta tabelas — tudo com poder administrativo que não deveria ter sido necessário.

Como mitigar

Use APIs com privilégios mínimos: execute operações críticas com permissões apenas suficientes para aquela tarefa. Sempre sanitize e valide entrada de usuário antes de usá-la em chamadas privilegiadas. Implemente controle de acesso baseado em roles (RBAC) para garantir que escalação de privilégio seja explícita e limitada.

CVE-2020-7927HIGHPotential privilege escalation in Ops Manager APIEPSS 1.0%CVE-2020-5291HIGHPrivilege escalation in setuid mode via user namespaces in BubblewrapEPSS 0.9%CVE-2023-29507CRITICALorg.xwiki.platform:xwiki-platform-oldcore makes Incorrect Use of Privileged APIs with DocumentAuthorsEPSS 0.9%CVE-2022-24821MEDIUMIncorrect Use of Privileged APIs in org.xwiki.platform.skin.skinxEPSS 0.8%CVE-2023-28062HIGH Dell PPDM versions 19.12, 19.11 and 19.10, contain an improper access control vulnerability. A remote authenticated malicious user with lowEPSS 0.8%CVE-2022-4796HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.8%CVE-2022-24071—A Built-in extension in Whale browser before 3.12.129.46 allows attackers to compromise the rendering process which could lead to controllinEPSS 0.7%CVE-2022-4687HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.6%CVE-2023-4009HIGHPrivilege Escalation for Project Owner and Project User Admin Roles in Ops ManagerEPSS 0.6%CVE-2022-20965MEDIUMA vulnerability in the web-based management interface of Cisco Identity Services Engine could allow an authenticated, remote attacker to takEPSS 0.6%CVE-2023-6151HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2023-6150HIGHInformation Disclosure in Eskom E-municipalityEPSS 0.6%CVE-2022-24073—The Web Request API in Whale browser before 3.12.129.18 allowed to deny access to the extension store or redirect to any URL when users acceEPSS 0.6%CVE-2026-9560CRITICALPrivilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands wEPSS 0.6%CVE-2023-4972CRITICALInformation Disclosure in Digital YepasEPSS 0.6%CVE-2024-46978MEDIUMMissing checks for notification filter preferences editions in XWiki PlatformEPSS 0.5%CVE-2023-20136MEDIUMA vulnerability in the OpenAPI of Cisco Secure Workload could allow an authenticated, remote attacker with the privileges of a read-only useEPSS 0.5%CVE-2025-7344HIGHDigiwin｜EAI - Privilege EscalationEPSS 0.5%CVE-2022-4805HIGHIncorrect Use of Privileged APIs in usememos/memosEPSS 0.5%CVE-2026-35639HIGHOpenClaw < 2026.3.22 - Privilege Escalation via device.pair.approve Scope ValidationEPSS 0.5%