Fallos del tipo CWE-266

1299 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-15213MEDIUMcode-projects Student File Management System File Download download.php improper authorizationEPSS 0.3%CVE-2026-2896MEDIUMfunadmin Configuration Ajax.php setConfig improper authorizationEPSS 0.3%CVE-2026-103752CRITICALWordPress Authorizer plugin <= 3.15.3 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-2549MEDIUMzhanghuanhao LibrarySystem 图书馆管理系统 BookController.java access controlEPSS 0.3%CVE-2026-18817LOWBaserow Inactive Non-Staff User serializers.py BaserowImpersonateAuthTokenSerializer improper authorizationEPSS 0.3%CVE-2025-14660MEDIUMDecoCMS Mesh Workspace Domain api.ts createTool access controlEPSS 0.3%CVE-2026-6572MEDIUMCollabora KodExplorer fileUpload Endpoint share.class.php improper authorizationEPSS 0.3%CVE-2026-81297HIGHWordPress Fluent Forms Pro Add On Pack plugin <= 6.2.12 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2023-7270MEDIUMLocal Privilege Escalation via MSI installerEPSS 0.3%CVE-2025-14016MEDIUMmacrozheng mall-swarm delete improper authorizationEPSS 0.3%CVE-2026-57768HIGHWordPress Houzez Login Register plugin <= 3.3.3 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-1806MEDIUMEastnets PaymentSafe URL Default.aspx improper authorizationEPSS 0.3%CVE-2026-49058CRITICALWordPress LoginPress Pro plugin <= 6.2.2 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-34901CRITICALWordPress iControlWP plugin <= 5.5.3 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-62022CRITICALWordPress Tonda Membership plugin <= 1.0.1 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-22337CRITICALWordPress Directorist Social Login plugin < 2.1.4 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2024-11485MEDIUMCode4Berry Decoration Management System User userregister.php permissionEPSS 0.3%CVE-2026-42758CRITICALWordPress WebinarIgnition plugin < 4.08.253 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-5330MEDIUMSourceCodester/mayuri_k Best Courier Management System User Delete ajax.php access controlEPSS 0.3%CVE-2025-14778MEDIUMKeycloak: incorrect ownership checks in /uma-policy/EPSS 0.3%