CWE-668

El producto expone un recurso a la esfera de control equivocada, proporcionando a actores no previstos acceso inapropiado al recurso.

Recursos como archivos y directorios pueden quedar expuestos de forma inadvertida a través de mecanismos como permisos inseguros, o cuando un programa opera accidentalmente sobre el objeto equivocado. Por ejemplo, un programa puede pretender que ciertos archivos privados solo se proporcionen a un usuario específico. Esto define efectivamente una esfera de control cuyo propósito es impedir que los atacantes accedan a estos archivos privados. Si los permisos del archivo son inseguros, entonces partes distintas del usuario podrán acceder a esos archivos. Una esfera de control separada podría exigir efectivamente que el usuario solo pueda acceder a los archivos privados, pero no a ningún otro archivo del sistema. Si el programa no garantiza que el usuario solo esté solicitando archivos privados, entonces el usuario podría acceder a otros archivos del sistema. En cualquier caso, el resultado final es que un recurso ha quedado expuesto a la parte equivocada.

Consecuencias comunes

• Confidencialidad → Leer datos de la aplicación
• Integridad → Modificar datos de la aplicación
• Otro → Varía según el contexto