Falhas do tipo CWE-266

1.300 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-5642MEDIUMCyber-III Student-Management-System HTTP POST Request update.php improper authorizationEPSS 0.3%CVE-2026-3737MEDIUMSourceCodester Pet Grooming Management Software User Creation add_user.php improper authorizationEPSS 0.3%CVE-2026-3738MEDIUMSourceCodester Pet Grooming Management Software Financial Report improper authorizationEPSS 0.3%CVE-2026-9562MEDIUMsambitraj STUDENT-MANAGEMENT-SYSTEM Dashboard access controlEPSS 0.3%CVE-2026-105382MEDIUMonetwothreeneth HospitalManagementSystem Account Administration controller.php update_subaccount improper authorizationEPSS 0.3%CVE-2026-39546HIGHWordPress MultiLoca plugin <= 4.2.15 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-15084LOWyoulaitech youlai-mall Order Payment OrderController.java orderService.payOrder access controlEPSS 0.3%CVE-2026-96882MEDIUMTaleLin lin-cms-spring-boot book Endpoint BookController.java searchBook improper authorizationEPSS 0.3%CVE-2026-7109MEDIUMcode-projects Invoice System in Laravel API Endpoint item improper authorizationEPSS 0.3%CVE-2026-96881MEDIUMTaleLin lin-cms-spring-boot book Endpoint BookController.java getBooks improper authorizationEPSS 0.3%CVE-2026-101054MEDIUMThinkware U3000 TCP Service wpa_supplicant.conf get_file access controlEPSS 0.3%CVE-2026-96880MEDIUMTaleLin lin-cms-spring-boot book Endpoint BookController.java getBook improper authorizationEPSS 0.3%CVE-2020-7334HIGHImproper privilege assignment vulnerability in the installer component of MACCEPSS 0.3%CVE-2026-105070HIGHWordPress Salon booking system plugin <= 10.31.7 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-11620MEDIUMTOTOLINK EX200 vsftpd vsftpd.conf least privilege violationEPSS 0.3%CVE-2026-2860MEDIUMfeng_ha_ha/megagao ssm-erp/production_ssm EmployeeController.java improper authorizationEPSS 0.3%CVE-2026-12529MEDIUMSourceCodester CET Automated Grading System with AI Predictive Analytics Student Self-Registration Endpoint index.php access controlEPSS 0.3%CVE-2025-9602MEDIUMXinhu RockOA index.php publicsaveAjax improper authorizationEPSS 0.3%CVE-2026-2206MEDIUMWeKan Administrative Repair fixDuplicateLists.js FixDuplicateBleed access controlEPSS 0.3%CVE-2026-5107LOWFRRouting FRR EVPN Type-2 Route bgp_evpn.c process_type2_route access controlEPSS 0.3%