Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2026-95594HIGHWordPress SMS Alert Order Notifications plugin <= 4.0.0 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2026-11440MEDIUMtheonedev REST API default-branch improper authorizationEPSS 0.2%CVE-2026-11438MEDIUMtheonedev projects improper authorizationEPSS 0.2%CVE-2026-49063HIGHWordPress Listdom plugin <= 5.5.0 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2024-9476MEDIUMPrivilege escalation vulnerability for Organizations in GrafanaEPSS 0.2%CVE-2026-54382MEDIUMVitaFit Cloud API AWS IAM Misconfiguration via Cognito S3 AccessEPSS 0.2%CVE-2026-103494MEDIUMIn JetBrains YouTrack before 2026.2.19422 privilege escalation was possible via user group membership changesEPSS 0.2%CVE-2026-4514MEDIUMPbootCMS Backend UserController.php access controlEPSS 0.2%CVE-2026-9581MEDIUMJeecgBoot add access controlEPSS 0.2%CVE-2026-121539MEDIUMmiroslavpejic85 MiroTalk P2P Socket I/O server.js CheckPassword access controlEPSS 0.2%CVE-2026-7602MEDIUMJeecgBoot FillRuleUtil edit improper authorizationEPSS 0.2%CVE-2026-5999MEDIUMJeecgBoot SysAnnouncementController improper authorizationEPSS 0.2%CVE-2026-108923MEDIUM1024-lab smart-admin Support Config Query queryByKey access controlEPSS 0.2%CVE-2026-11476MEDIUMKushan2k student-management-system Profile Update Endpoint AdminController.php edit-admin improper authorizationEPSS 0.2%CVE-2026-11619MEDIUMDolibarr ERP CRM Legacy Filemanager config.inc.php improper authorizationEPSS 0.2%CVE-2026-10217MEDIUMnextlevelbuilder GoClaw RoleAdmin Gateway tts_config.go handleSave privileges managementEPSS 0.2%CVE-2026-9579MEDIUMJeecgBoot SysUser userEdit user.getUsername access controlEPSS 0.2%CVE-2026-110898MEDIUMWordPress Essential Addons for Elementor plugin <= 6.8.5 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2025-42936MEDIUMMissing Authorization check in SAP NetWeaver Application Server for ABAPEPSS 0.2%CVE-2026-12212MEDIUMhcengineering Huly Platform RPC operations.ts getMailboxSecret access controlEPSS 0.2%