Fallos del tipo CWE-266

1169 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-66296HIGHGrav vulnerable to Privilege Escalation in Grav Admin: Missing Username Uniqueness Check Allows Admin Account TakeoverEPSS 0.3%CVE-2025-0783MEDIUMpankajindevops scale API Endpoint access controlEPSS 0.3%CVE-2025-58841MEDIUMWordPress Media Author Plugin <= 1.0.4 - Broken Access Control VulnerabilityEPSS 0.3%CVE-2026-13591LOWDeepMyst Mysti Contact Tracking ChannelBridge.ts _isTrackedConversation improper authorizationEPSS 0.3%CVE-2025-15213MEDIUMcode-projects Student File Management System File Download download.php improper authorizationEPSS 0.3%CVE-2025-5390MEDIUMJeeWMS File filedeal.do filedeal access controlEPSS 0.3%CVE-2026-21756HIGHHCL Hive is affected by a broken access control vulnerabilityEPSS 0.3%CVE-2025-48741MEDIUMA Broken Access Control vulnerability in StrangeBee TheHive 5.2.0 before 5.2.16, 5.3.0 before 5.3.11, and 5.4.0 before 5.4.10 allows remote,EPSS 0.3%CVE-2025-14086MEDIUMyoulaitech youlai-mall openid access controlEPSS 0.3%CVE-2026-62106HIGHWordPress SMS Alert Order Notifications plugin <= 3.9.9 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-32561HIGHWordPress Booking Hub plugin <= 1.3.0 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-62102HIGHWordPress Gato GraphQL plugin <= 19.2.3 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-15123LOWJeecgBoot datarule improper authorizationEPSS 0.3%CVE-2025-15124LOWJeecgBoot list getParameterMap improper authorizationEPSS 0.3%CVE-2025-15125LOWJeecgBoot queryDepartPermission improper authorizationEPSS 0.3%CVE-2025-1806MEDIUMEastnets PaymentSafe URL Default.aspx improper authorizationEPSS 0.3%CVE-2026-22914MEDIUMAn attacker with limited permissions may still be able to write files to specific locations on the device, potentially leading to system manEPSS 0.3%CVE-2026-3263MEDIUMgo2ismail Asp.Net-Core-Inventory-Order-Management-System Security API improper authorizationEPSS 0.3%CVE-2025-15122LOWJeecgBoot datarule loadDatarule improper authorizationEPSS 0.3%CVE-2026-5330MEDIUMSourceCodester/mayuri_k Best Courier Management System User Delete ajax.php access controlEPSS 0.3%