Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-15467HIGHTrustyai-service-operator: trustyai-service-operator: lmevaljob sidecar containers bypass protected environment variable filtering, allowing trust_remote_code policy overrideEPSS 0.6%CVE-2025-0802MEDIUMSourceCodester Best Employee Management System Administrative Endpoint View_user.php access controlEPSS 0.6%CVE-2025-4066MEDIUMScriptAndTools Online-Travling-System addpackage.php access controlEPSS 0.6%CVE-2025-4269MEDIUMTOTOLINK A720R Log cstecgi.cgi access controlEPSS 0.6%CVE-2025-3674MEDIUMTOTOLINK A3700R cstecgi.cgi setUrlFilterRules access controlEPSS 0.6%CVE-2025-32695CRITICALWordPress Checkout Mestres WP plugin <= 8.7.5 - Privilege Escalation VulnerabilityEPSS 0.6%CVE-2026-22908CRITICALUploading unvalidated container images may allow remote attackers to gain full access to the system, potentially compromising its integrity EPSS 0.6%CVE-2025-8797MEDIUMLitmusChaos Litmus LocalStorage permissionEPSS 0.6%CVE-2024-13109MEDIUMBeijing Yunfan Internet Technology Yunfan Learning Examination System doc.html improper authorizationEPSS 0.6%CVE-2023-2816HIGHConsul Envoy Extension Downsteam Proxy Configuration By Upstream Service OwnerEPSS 0.6%CVE-2024-25660CRITICALThe WebDAV service in Infinera TNMS (Transcend Network Management System) 19.10.3 allows a low-privileged remote attacker to conduct unauthoEPSS 0.6%CVE-2026-116368MEDIUMDeepSeek Harness Browser Auth browser-auth.ts improper authorizationEPSS 0.6%CVE-2024-13189MEDIUMZeroWdd myblog MyBlogMvcConfig.java permissionEPSS 0.6%CVE-2025-48129CRITICALWordPress Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light plugin <= 2.4.37 - Privilege Escalation VulnerabilityEPSS 0.6%CVE-2026-93961MEDIUMDromara UJCMS UserController UserController.java usernameExist improper authorizationEPSS 0.6%CVE-2025-5163MEDIUMyangshare 技术杨工 warehouseManager 仓库管理系统 access controlEPSS 0.6%CVE-2026-72839CRITICALfilebrowser through 2.63.16 Privilege Escalation via SignupEPSS 0.6%CVE-2025-31560HIGHWordPress Salon booking system plugin < 10.15 - Privilege Escalation vulnerabilityEPSS 0.6%CVE-2025-2334MEDIUM274056675 springboot-openai-chatgpt Chat History chat deleteChat access controlEPSS 0.6%CVE-2025-23528HIGHWordPress DD Roles plugin <= 4.1 - Privilege Escalation vulnerabilityEPSS 0.6%