Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-5426MEDIUMjuzaweb CMS Menu Page menus access controlEPSS 0.5%CVE-2025-5423MEDIUMjuzaweb CMS General Setting Page general access controlEPSS 0.5%CVE-2025-5428MEDIUMjuzaweb CMS Error Logs Page log-viewer access controlEPSS 0.5%CVE-2025-7947MEDIUMjshERP Account delete improper authorizationEPSS 0.5%CVE-2026-22267HIGHDell PowerProtect Data Manager, version(s) prior to 19.22, contain(s) an Incorrect Privilege Assignment vulnerability. A low privileged attaEPSS 0.5%CVE-2026-85400HIGHTYPO3 CMS - Missing Authorization in lowlevel commandsEPSS 0.5%CVE-2024-51800CRITICALWordPress Homey theme <= 2.4.1 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-32507HIGHWordPress Login with phone number plugin <= 1.7.16 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-0849MEDIUMCampCodes School Management Software Staff edit-staff improper authorizationEPSS 0.5%CVE-2025-49580HIGHXWiki allows privilege escalation through link refactoringEPSS 0.5%CVE-2026-112407HIGHIncorrect privilege assignment in AWS CICD-toolchain-for-serverless-applicationsEPSS 0.5%CVE-2026-108899MEDIUMtobychui zoraxy Path Exception Matcher authProviders.go handleBasicAuth improper authorizationEPSS 0.5%CVE-2026-9397CRITICALBesen BS20 EV Charging Station OTA Update Installation improper authorizationEPSS 0.5%CVE-2023-38298HIGHVarious software builds for the following TCL devices (30Z, A3X, 20XE, 10L) leak the device IMEI to a system property that can be accessed bEPSS 0.5%CVE-2026-19835MEDIUMWebkul Bagisto Customer Item Deletion Endpoint access controlEPSS 0.5%CVE-2024-50506HIGHWordPress Marketing Automation by AZEXO plugin <= 1.27.80 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-60220CRITICALWordPress CouponXxL theme <= 3.0.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-32980CRITICALNETSCOUT nGeniusONE before 6.4.0 P11 b3245 has a Weak Sudo Configuration.EPSS 0.5%CVE-2025-49422CRITICALWordPress Support Ticket Plugin <= 1.9 - Privilege Escalation VulnerabilityEPSS 0.5%CVE-2025-69179CRITICALWordPress Support Ticket Management System plugin <= 1.9 - Privilege Escalation vulnerabilityEPSS 0.4%