Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-2121MEDIUMThinkware Car Dashcam F800 Pro File Storage access controlEPSS 1.0%CVE-2019-3843MEDIUMIt was discovered that a systemd service that uses DynamicUser property can create a SUID/SGID binary that would be allowed to run as the trEPSS 0.9%CVE-2023-6009HIGHUserPro <= 5.1.4 - Authenticated (Subscriber+) Privilege EscalationEPSS 0.9%CVE-2021-1416MEDIUMCisco Identity Services Engine Sensitive Information Disclosure VulnerabilitiesEPSS 0.9%CVE-2022-3876MEDIUMClick Studios Passwordstate API authorizationEPSS 0.9%CVE-2024-50550HIGHWordPress LiteSpeed Cache plugin <= 6.5.1 - Privilege Escalation vulnerabilityEPSS 0.9%CVE-2026-5215MEDIUMD-Link DNS-1550-04 network_mgr.cgi cgi_get_ipv6 access controlEPSS 0.9%CVE-2025-7076MEDIUMBlackVue Dashcam 590X Configuration upload.cgi access controlEPSS 0.9%CVE-2023-4153HIGHBAN Users <= 1.5.3 - Missing Authorization to Authenticated (Subscriber+) Settings Update & Privilege EscalationEPSS 0.9%CVE-2024-11860MEDIUMSourceCodester Best House Rental Management System POST Request ajax.php improper authorizationEPSS 0.9%CVE-2026-15270HIGHD-link DIR-823G Web boa.conf least privilege violationEPSS 0.9%CVE-2024-13103MEDIUMD-Link DIR-816 A2 Virtual Service form2AddVrtsrv.cgi access controlEPSS 0.8%CVE-2025-2995MEDIUMTenda FH1202 Web Management Interface SysToolChangePwd access controlEPSS 0.8%CVE-2024-13067MEDIUMCodeAstro Online Food Ordering System All Users Page all_users.php access controlEPSS 0.8%CVE-2022-4272MEDIUMFeMiner wms unrestricted uploadEPSS 0.8%CVE-2022-3826MEDIUMHuaxia ERP Retail Management list information disclosureEPSS 0.8%CVE-2026-102129HIGHKiteworks Core Incorrect Privilege AssignmentEPSS 0.8%CVE-2024-2409CRITICALMasterStudy LMS <= 3.3.1 - Unauthenticated Privilege Escalation via stm_lms_register AJAX ActionEPSS 0.8%CVE-2025-1226MEDIUMywoa setup.jsp improper authorizationEPSS 0.8%CVE-2026-105284CRITICALTotolink A3002MU Authentication Check boa sub_40FCFC improper authorizationEPSS 0.8%