Falhas do tipo CWE-266

1.300 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-108923MEDIUM1024-lab smart-admin Support Config Query queryByKey access controlEPSS 0.2%CVE-2026-110898MEDIUMWordPress Essential Addons for Elementor plugin <= 6.8.5 - Privilege Escalation vulnerabilityEPSS 0.2%CVE-2025-42936MEDIUMMissing Authorization check in SAP NetWeaver Application Server for ABAPEPSS 0.2%CVE-2024-45331MEDIUMA incorrect privilege assignment vulnerability in Fortinet FortiAnalyzer 7.4.0 through 7.4.3, FortiAnalyzer 7.2.0 through 7.2.5, FortiAnalyzEPSS 0.2%CVE-2026-4548MEDIUMmickasmt next-saas-stripe-starter update-user-role.ts updateUserrole improper authorizationEPSS 0.2%CVE-2026-57144HIGHPraisonAI SandlockSandbox falls back to unrestricted subprocess execution when Landlock is unavailableEPSS 0.2%CVE-2026-12212MEDIUMhcengineering Huly Platform RPC operations.ts getMailboxSecret access controlEPSS 0.2%CVE-2026-6609MEDIUMliangliangyy DjangoBlog views.py form_valid improper authorizationEPSS 0.2%CVE-2026-11554MEDIUMTOTOLINK CP450 vsftpd vsftpd.conf least privilege violationEPSS 0.2%CVE-2026-10152MEDIUMTaleLin lin-cms-spring-boot book Endpoint BookController.java access controlEPSS 0.2%CVE-2025-5791HIGHUsers: `root` appended to group listingsEPSS 0.2%CVE-2023-40109HIGHIn createFromParcel of UsbConfiguration.java, there is a possible background activity launch (BAL) due to a permissions bypass. This could lEPSS 0.2%CVE-2025-61785LOWDeno's --deny-write check does not prevent permission bypassEPSS 0.2%CVE-2026-12213MEDIUMhcengineering Huly Platform User Information operations.ts getAccountInfo improper authorizationEPSS 0.2%CVE-2026-118644MEDIUMn8n before 2.41.5 and 2.42.2 Credential Theft via Error-Workflow Context InheritanceEPSS 0.2%CVE-2026-108575MEDIUMBerriAI LiteLLM Secret Resolution main.py get_secret improper authorizationEPSS 0.2%CVE-2026-7091MEDIUMcode-projects Invoice System in Laravel User Management user improper authorizationEPSS 0.2%CVE-2026-121514MEDIUMEasySoft ZenTao PMS User model.php checkGroupChange privileges managementEPSS 0.2%CVE-2026-9412MEDIUMSourceCodester Indian Invoicing System Backend Endpoint access controlEPSS 0.2%CVE-2026-116384MEDIUMBdtask Garage 24 Garage Management Software Backend improper authorizationEPSS 0.2%