Fallos del tipo CWE-266

1296 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-8791MEDIUMLitmusChaos Litmus list_projects improper authorizationEPSS 0.4%CVE-2026-86285MEDIUMBookStack Attachment Edit Endpoint AttachmentController.php getUpdateForm access controlEPSS 0.4%CVE-2026-90812MEDIUMcosmicstack-labs mercury-agent Shell Command Permission permissions.ts checkShellCommand privileges assignmentEPSS 0.4%CVE-2024-11484MEDIUMCode4Berry Decoration Management System User Image update_image.php access controlEPSS 0.4%CVE-2026-16224MEDIUMjxxghp MoviePilot Application API improper authorizationEPSS 0.4%CVE-2026-14794MEDIUMCraft CMS Charts Endpoint ChartsController.php actionGetNewUsersData improper authorizationEPSS 0.4%CVE-2025-11554MEDIUMPortabilis i-Educar User Type AccessLevelController.php insecure inherited permissionsEPSS 0.4%CVE-2025-46203MEDIUMAn issue in Unifiedtransform v2.0 allows a remote attacker to escalate privileges via the /students/edit/{id} endpoint.EPSS 0.4%CVE-2026-35671HIGHphpMyFAQ - Insecure Direct Object Reference in User Password APIEPSS 0.4%CVE-2026-45490HIGH.NET SDK Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2025-10976LOWJeecgBoot getDepartUserList improper authorizationEPSS 0.4%CVE-2026-120224CRITICALOray Pugongying X5 Pro API Authorization run_async_task improper authorizationEPSS 0.4%CVE-2026-39470HIGHWordPress WooCommerce Cart Abandonment Recovery plugin < 2.1.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-82834MEDIUMDoccano Open Source Annotation Tools for Machine Learning Practitioners Bulk-Delete Endpoint category-types LabelList access controlEPSS 0.4%CVE-2026-7505MEDIUMnextlevelbuilder GoClaw/GoClaw Lite RPC improper authorizationEPSS 0.4%CVE-2026-82835MEDIUMcaoqianming django-vue-admin file access controlEPSS 0.4%CVE-2025-8839MEDIUMjshERP Endpoint addUser improper authorizationEPSS 0.4%CVE-2025-44655CRITICALIn TOTOLink A7100RU V7.4, A950RG V5.9, and T10 V5.9, the chroot_local_user option is enabled in the vsftpd.conf. This could lead to unauthorEPSS 0.4%CVE-2025-4493MEDIUMImproper privilege assignment in PAM JIT privilege sets in Devolutions Server allows a PAM user to perform PAM JIT requests on unauthorizeEPSS 0.4%CVE-2026-90499MEDIUMlenve vhr Password Update pass HrInfoController.updatePass improper authorizationEPSS 0.4%