Fallos del tipo CWE-266

1169 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-11533MEDIUMimvks786 student_management_system Student Deletion Endpoint see.php improper authorizationEPSS 0.2%CVE-2026-2849MEDIUMyeqifu warehouse Cache Sync CacheController.java syncCache access controlEPSS 0.2%CVE-2026-5141HIGHImproper Access Control in TUBITAK BILGEM's Pardus Software CenterEPSS 0.2%CVE-2026-2852MEDIUMyeqifu warehouse Sales Endpoint SalesController.java deleteSales access controlEPSS 0.2%CVE-2026-19918MEDIUMSpaceX Starlink Router Gen 3 gRPC Management get_status access controlEPSS 0.2%CVE-2026-86228MEDIUMJeecgBoot AiragModelController.java exportXls access controlEPSS 0.2%CVE-2026-17434MEDIUMnanocoai NanoClaw add_mcp_server request.ts handleAddMcpServer improper authorizationEPSS 0.2%CVE-2026-1964MEDIUMWeKan REST Endpoint boards.js BoardTitleRESTBleed access controlEPSS 0.2%CVE-2026-10282MEDIUMBottelet DaybydayCRM DocumentsController.php view improper authorizationEPSS 0.2%CVE-2026-94048MEDIUMCodeAstro QR Code Attendance Management System UserController.php save privileges managementEPSS 0.2%CVE-2026-3268MEDIUMpsi-probe PSI Probe Session Attribute RemoveSessAttributeController.java access controlEPSS 0.2%CVE-2026-82835MEDIUMcaoqianming django-vue-admin file access controlEPSS 0.2%CVE-2026-32530HIGHWordPress Creator LMS plugin <= 1.1.18 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2026-7631MEDIUMcode-projects Online Hospital Management System Registration improper authorizationEPSS 0.2%CVE-2026-4013MEDIUMSourceCodester Web-based Pharmacy Product Management System add_admin.php improper authorizationEPSS 0.2%CVE-2026-8743MEDIUMOpen5GS AMF/MME context.c ran_ue_find_by_amf_ue_ngap_id improper authorizationEPSS 0.2%CVE-2026-40869HIGHDecidim amendments can be accepted or rejected by anyoneEPSS 0.2%CVE-2026-10294MEDIUMPackageKit API pk-transaction.c g_file_test improper authorizationEPSS 0.2%CVE-2026-86285MEDIUMBookStack Attachment Edit Endpoint AttachmentController.php getUpdateForm access controlEPSS 0.2%CVE-2026-9604MEDIUMJeecgBoot AiragModelController access controlEPSS 0.2%