Fallos del tipo CWE-266

1299 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-15474MEDIUMEleveo Call Recording Software audio.jsp improper authorizationEPSS 0.3%CVE-2026-15470MEDIUMEleveo Call Recording Software group.jsp improper authorizationEPSS 0.3%CVE-2026-15472MEDIUMEleveo Call Recording Software composeEmailAction.do improper authorizationEPSS 0.3%CVE-2026-15377MEDIUMEleveo Call Recording Software sendlogfile improper authorizationEPSS 0.3%CVE-2026-116106MEDIUMHeyCyan App FileProvider access controlEPSS 0.3%CVE-2026-1193MEDIUMMineAdmin View view improper authorizationEPSS 0.3%CVE-2025-2898HIGHIBM Maximo Application Suite privilege escalationEPSS 0.3%CVE-2025-10291MEDIUMlinlinjava litemall cancel WxAftersaleController improper authorizationEPSS 0.3%CVE-2026-18723MEDIUMdiaowen DWSurvey Survey Status up-survey-status.do improper authorizationEPSS 0.3%CVE-2026-82817MEDIUMdibo-software diboot Tenant Administrator Management API admin access controlEPSS 0.3%CVE-2026-15376MEDIUMEleveo Call Recording Software statisticReportAction.do improper authorizationEPSS 0.3%CVE-2026-15509MEDIUMLeantime JSON-RPC Endpoint addUser improper authorizationEPSS 0.3%CVE-2026-15373MEDIUMEleveo Call Recording Software userAddAction.do improper authorizationEPSS 0.3%CVE-2026-77795MEDIUMDromara RuoYi-Vue-Plus Workflow Endpoint TestLeaveController improper authorizationEPSS 0.3%CVE-2026-15473MEDIUMEleveo Call Recording Software Recorded Calls restoreCallAction.do improper authorizationEPSS 0.3%CVE-2026-82818MEDIUMdibo-software diboot Tenant Resource Assignment resource access controlEPSS 0.3%CVE-2026-15374MEDIUMEleveo Call Recording Software Group roleAddAction.do improper authorizationEPSS 0.3%CVE-2026-15510MEDIUMLeantime API saveSetting improper authorizationEPSS 0.3%CVE-2026-90501MEDIUMlenve vhr HrMapper.xml HrInfoController.updateHr privileges managementEPSS 0.3%CVE-2026-76999MEDIUMSourceCodester CET Automated Grading System with AI Predictive Analytics index.php add_grade improper authorizationEPSS 0.3%