Fallos del tipo CWE-266

1300 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-109693HIGHWordPress Fluent CRM plugin <= 3.2.5 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-21092HIGHGMOD Apollo Incorrect Privilege AssignmentEPSS 0.3%CVE-2026-10269MEDIUMdecolua 9router HTTP Header dashboardGuard.js isAuthenticated improper authorizationEPSS 0.3%CVE-2025-15119LOWJeecgBoot list queryPageList improper authorizationEPSS 0.3%CVE-2026-10277MEDIUMj3k0 mcp-google-workspace MCP Gmail Tool gmail.ts saveToDisk access controlEPSS 0.3%CVE-2025-53209CRITICALWordPress Masteriyo LMS PRO plugin <= 2.20.0 - Privilege Escalation VulnerabilityEPSS 0.3%CVE-2020-1704HIGHAn insecure modification vulnerability in the /etc/passwd file was found in all versions of OpenShift ServiceMesh (maistra) before 1.0.8 in EPSS 0.3%CVE-2026-25334HIGHWordPress Salon Booking System Pro plugin < 10.30.12 - Account Takeover vulnerabilityEPSS 0.3%CVE-2026-104405HIGHWordPress GiveWP plugin <= 4.17.0 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2024-4555HIGHUser impersonation with MFA when configure in specific wayEPSS 0.3%CVE-2019-19345HIGHA vulnerability was found in all openshift/mediawiki-apb 4.x.x versions prior to 4.3.0, where an insecure modification vulnerability in the EPSS 0.3%CVE-2026-100883MEDIUMKrayin laravel-crm acl.php access controlEPSS 0.3%CVE-2026-97895MEDIUMkrayin laravel-crm User Management UserController.php privileges managementEPSS 0.3%CVE-2026-11521MEDIUMMohammed-eid35 bank-management-system-springboot Transaction Endpoint TransactionController.java improper authorizationEPSS 0.3%CVE-2026-122158MEDIUMInvoiceShelf MemberService.php create access controlEPSS 0.3%CVE-2026-9484MEDIUMSourceCodester Student Grades Management System classroom.php removeStudentFromClassroom improper authorizationEPSS 0.3%CVE-2026-7713MEDIUMcrocodilestick Calibre-Web-Automated Kobo auth-token Route kobo_auth.py generate_auth_token improper authorizationEPSS 0.3%CVE-2023-29066LOWIncorrect User ManagementEPSS 0.3%CVE-2026-8743MEDIUMOpen5GS AMF/MME context.c ran_ue_find_by_amf_ue_ngap_id improper authorizationEPSS 0.3%CVE-2021-20264—An insecure modification flaw in the /etc/passwd file was found in the openjdk-1.8 and openjdk-11 containers. This flaw allows an attacker wEPSS 0.3%