Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-5425MEDIUMjuzaweb CMS Theme Editor Page default access controlEPSS 0.5%CVE-2026-19244MEDIUMHKUDS nanobot MCP enabledTools Scope mcp.py connect_mcp_servers access controlEPSS 0.5%CVE-2025-23391CRITICALRancher: Restricted Administrator can change Administrator's passwordsEPSS 0.5%CVE-2026-19893LOWD-Link DIR-842 vsftpd vsftpd.conf default permissionEPSS 0.5%CVE-2026-101860HIGHRaspAP raspap-webgui sudo Configuration PluginInstaller.php addSudoers privileges managementEPSS 0.5%CVE-2024-56220CRITICALWordPress SSL Wireless SMS Notification plugin <= 3.6.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-2589MEDIUMcode-projects Human Resource Management System Account.go Index improper authorizationEPSS 0.5%CVE-2026-90566MEDIUMRizwan17 inventory-management-system Registration register.php createUserAccount improper authorizationEPSS 0.5%CVE-2024-49217CRITICALWordPress Adding drop down roles in registration plugin <= 1.1 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-49322CRITICALWordPress Job Board Manager for WordPress plugin <= 1.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-113507MEDIUMaaPanel common.py GetClientIp access controlEPSS 0.5%CVE-2026-13568MEDIUMSourceCodester Inventory Management System User Registration Endpoint users_handler.php access controlEPSS 0.5%CVE-2026-19376MEDIUMUasoft Badaso File API api.php class permissionEPSS 0.5%CVE-2026-96556MEDIUMNeethuharii CafeManagement AddCashierCode.php addcashier improper authorizationEPSS 0.5%CVE-2026-60010MEDIUMGitea organization team policy bypass through repository APIEPSS 0.5%CVE-2026-84115MEDIUMCleo Harmony JWT Refresh Token connections privileges managementEPSS 0.5%CVE-2026-12388MEDIUMKeycloak-broker: keycloak: privilege escalation to realm administrator via improper authorization in identity provider mapperEPSS 0.5%CVE-2025-69378HIGHWordPress Product Filter for WooCommerce plugin <= 9.1.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-68869CRITICALWordPress LazyTasks plugin <= 1.2.37 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-26523HIGHInsufficient Authorization Vulnerability in RupeeWeb trading platformEPSS 0.5%