Fallos del tipo CWE-266

1169 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2016-7066—It was found that the improper default permissions on /tmp/auth directory in JBoss Enterprise Application Platform before 7.1.0 can allow anEPSS 0.3%CVE-2025-13117MEDIUMmacrozheng mall-swarm/mall cancelOrder improper authorizationEPSS 0.3%CVE-2026-35671HIGHphpMyFAQ - Insecure Direct Object Reference in User Password APIEPSS 0.3%CVE-2025-15085MEDIUMyoulaitech youlai-mall Balance MemberController.java deductBalance improper authorizationEPSS 0.3%CVE-2025-13116MEDIUMmacrozheng mall-swarm/mall cancelUserOrder improper authorizationEPSS 0.3%CVE-2026-66661HIGHWordPress Directories Pro plugin <= 2.0.5 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-0797MEDIUMMicroWorld eScan Antivirus Quarantine Microworld default permissionEPSS 0.3%CVE-2026-81297HIGHWordPress Fluent Forms Pro Add On Pack plugin <= 6.2.12 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2024-50702MEDIUMTeamPass before 3.1.3.1 does not properly check whether a mail_me (aka action_mail) operation is on behalf of an administrator or manager.EPSS 0.3%CVE-2025-15086MEDIUMyoulaitech youlai-mall MemberController.java getMemberByMobile access controlEPSS 0.3%CVE-2026-3724MEDIUMSourceCodester Patients Waiting Area Queue Management System checkin.php improper authorizationEPSS 0.3%CVE-2024-55570MEDIUM/api/user/users in the web GUI for the Cubro EXA48200 network packet broker (build 20231025055018) fixed in V5.0R14.5P4-V3.3R1 allows remoteEPSS 0.3%CVE-2026-73461CRITICALSecurity Advisory 0163EPSS 0.3%CVE-2025-14778MEDIUMKeycloak: incorrect ownership checks in /uma-policy/EPSS 0.3%CVE-2026-19359MEDIUMnxp-auto-goldvip gvip Lambda Function SitewiseCustomFunction access controlEPSS 0.3%CVE-2025-14016MEDIUMmacrozheng mall-swarm delete improper authorizationEPSS 0.3%CVE-2026-78115MEDIUMSourceCodester Class and Exam Timetabling System User Account Update edit_user_account.php improper authorizationEPSS 0.3%CVE-2025-29004HIGHPrivilege Escalation Vulnerability in AA-Team WordPress pluginsEPSS 0.3%CVE-2026-33518CRITICALIncorrect privilege assignment in Portal for ArcGISEPSS 0.3%CVE-2026-11462MEDIUMChengdu Everbrite Network Technology BeikeShop Stripe Plugin StripeController.php callback improper authorizationEPSS 0.3%