Fallos del tipo CWE-266

1299 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-62034HIGHWordPress Togo theme < 1.0.4 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-29036MEDIUMAn issue in hackathon-starter v.8.1.0 allows a remote attacker to escalate privileges via the user.js component.EPSS 0.4%CVE-2025-15106MEDIUMgetmaxun Authentication Endpoint auth.ts router.get improper authorizationEPSS 0.4%CVE-2025-13115MEDIUMmacrozheng mall-swarm/mall Order Details detail improper authorizationEPSS 0.4%CVE-2026-109605MEDIUMSourceCodester Simple Cafe Billing System User Management admin_class.php save_user improper authorizationEPSS 0.4%CVE-2025-10209MEDIUMPapermerge DMS Authorization Token improper authorizationEPSS 0.4%CVE-2025-4692MEDIUMABUP IoT Cloud Platform Incorrect Privilege AssignmentEPSS 0.4%CVE-2025-2843HIGHObservability-operator: observability operator privilege escalationEPSS 0.4%CVE-2026-18584MEDIUMGL.iNet E5800/E750/X2000/X3000/XE3000/XE300 eSIM LPA API v1 improper authorizationEPSS 0.4%CVE-2026-2015MEDIUMPortabilis i-Educar Final Status Import FinalStatusImportService.php improper authorizationEPSS 0.4%CVE-2026-15140HIGHA privilege-escalation issue in the Portworx Operator when deployed on Red Hat OpenShift (OCP). Only under specific conditions during the inEPSS 0.4%CVE-2026-1141MEDIUMPHPGurukul News Portal Add Sub-Admin add-subadmins.php improper authorizationEPSS 0.4%CVE-2017-12711—An Incorrect Privilege Assignment issue was discovered in Advantech WebAccess versions prior to V8.2_20170817. A built-in user account has bEPSS 0.4%CVE-2026-0871MEDIUMOrg.keycloak/keycloak-services: keycloak: unauthorized modification of unmanaged user attributes by administratorsEPSS 0.3%CVE-2026-0574MEDIUMyeqifu warehouse Request UserController.java saveUserRole improper authorizationEPSS 0.3%CVE-2026-116386CRITICALWordPress SMS Alert Order Notifications plugin <= 4.0.2 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-19918MEDIUMSpaceX Starlink Router Gen 3 gRPC Management get_status access controlEPSS 0.3%CVE-2026-1193MEDIUMMineAdmin View view improper authorizationEPSS 0.3%CVE-2026-15377MEDIUMEleveo Call Recording Software sendlogfile improper authorizationEPSS 0.3%CVE-2026-90487MEDIUMXuxueli xxl-job JobGroupController.java privileges managementEPSS 0.3%