Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-2470CRITICALService Finder Bookings <= 5.1 - Unauthenticated Privilege Escalation via 'nsl_registration_store_extra_input'EPSS 0.5%CVE-2026-72826HIGHGrav API Plugin before 1.0.13 Scope Bypass via createApiKeyEPSS 0.5%CVE-2025-8547MEDIUMatjiu pybbs Email Verification improper authorizationEPSS 0.5%CVE-2025-45006CRITICALImproper mstatus.SUM bit retention (non-zero) in Open-Source RISC-V Processor commit f517abb violates privileged spec constraints, enabling EPSS 0.5%CVE-2022-4281MEDIUMFacepay camera.php authorizationEPSS 0.5%CVE-2026-73814MEDIUMGitea repository ownership escalation by administratorsEPSS 0.5%CVE-2024-9519HIGHUserPlus <= 2.0 - Authenticated (Editor+) Registration Form Update to Privilege EscalationEPSS 0.5%CVE-2025-2686MEDIUMmingyuefusu 明月复苏 tushuguanlixitong 图书管理系统 Backend admin doFilter access controlEPSS 0.5%CVE-2025-67966HIGHWordPress Lawyer Directory plugin <= 1.3.3 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-4870HIGHFrontend Registration – Contact Form 7 <= 5.1 - Authenticated (Editor+) Privilege EscalationEPSS 0.5%CVE-2026-5569MEDIUMTechnostrobe HI-LED-WR120-G2 Endpoint access controlEPSS 0.5%CVE-2026-15594MEDIUMwaooAI waoowaoo Media hash.ts stablePublicIdFromStorageKey improper authorizationEPSS 0.5%CVE-2025-3569MEDIUMJamesZBL/code-projects db-hospital-drug ShiroConfig.java improper authorizationEPSS 0.5%CVE-2026-21756HIGHHCL Hive is affected by a broken access control vulnerabilityEPSS 0.5%CVE-2026-65559HIGHWordPress Order Delivery Date for WooCommerce plugin <= 4.6.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-28183HIGHWordPress PublishPress Capabilities plugin <= 2.45.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-78271HIGHWordPress FluentCRM Pro plugin <= 3.1.12 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-5423MEDIUMjuzaweb CMS General Setting Page general access controlEPSS 0.5%CVE-2025-5421MEDIUMjuzaweb CMS Plugin Editor Page editor access controlEPSS 0.5%CVE-2025-5428MEDIUMjuzaweb CMS Error Logs Page log-viewer access controlEPSS 0.5%