Weaknesses of type CWE-266

1,302 results

Atribuição incorreta de privilégios

Acontece quando uma aplicação ou sistema concede permissões (privilégios) a um usuário, processo ou recurso de forma errada — atribuindo mais acesso do que deveria ou permitindo operações que não deveriam estar disponíveis. O risco é que um atacante ou usuário sem autorização consiga executar ações críticas, acessar dados sensíveis ou elevar seus privilégios no sistema.

Example

Um aplicativo cria um arquivo de configuração com permissões 0666 (leitura e escrita para todos) quando deveria ser 0600 (apenas dono); ou uma API expõe endpoints administrativos sem verificar se o usuário logado é realmente um admin, permitindo que qualquer pessoa autenticada delete dados ou mude configurações.

How to mitigate

Implemente controle de acesso baseado em papéis (RBAC) ou atributos (ABAC), verificando permissões explicitamente antes de cada operação crítica. Defina permissões padrão restritivas (deny-by-default), revise regularmente quem tem acesso a quê, e use ferramentas de análise estática para detectar atribuições de privilégio hardcoded ou inconsistentes no código.

CVE-2025-0140MEDIUMGlobalProtect App: Non Admin User Can Disable the GlobalProtect AppEPSS 0.1%CVE-2025-0139MEDIUMAutonomous Digital Experience Manager: Privilege Escalation (PE) VulnerabilityEPSS 0.1%CVE-2025-2179MEDIUMGlobalProtect App: Non Admin User Can Disable the GlobalProtect AppEPSS 0.1%CVE-2024-47595MEDIUMLocal Privilege Escalation in SAP Host AgentEPSS 0.1%CVE-2026-17433MEDIUMnanocoai NanoClaw MCP Server Approval chat-sdk-bridge.ts createChatSdkBridge.setup improper authorizationEPSS 0.1%CVE-2026-15475MEDIUMMiniTool Partition Wizard Signed Kernel Driver pwdrvio.sys access controlEPSS 0.1%CVE-2024-27273HIGHIBM AIX privilege escalationEPSS 0.1%CVE-2026-15476MEDIUMQILING Disk Master Kernel Driver diskbckp.sys access controlEPSS 0.1%CVE-2026-106145HIGHPrivilege Escalation in Telerik Report Server Service-Agent HubEPSS 0.1%CVE-2026-82670MEDIUMIObit Uninstaller IOCTL IUForceDelete.sys IRP_MJ_DEVICE_CONTROL privileges managementEPSS 0.1%CVE-2026-12164MEDIUMPrivilege Escalation in Fortra File Integrity Monitoring (FIM)EPSS 0.1%CVE-2026-96539MEDIUMWordPress Ultimate Member plugin <= 2.13.1 - Privilege Escalation vulnerabilityEPSS 0.1%CVE-2026-52791LOWfuse-overlayfs release-1.x preserves SUID/SGID bits after truncate/open(O_TRUNC)EPSS 0.1%CVE-2021-47799HIGHVisual Tools DVR VX16 4.2.28 - Local Privilege EscalationEPSS 0.1%CVE-2025-10941HIGHTopaz SERVCore Teller Installer SERVCoreTeller_2.0.40D.msi permissionEPSS 0.1%CVE-2026-8303HIGHPrivilege Escalation in TUBITAK BILGEM's Pardus-softwareEPSS 0.1%CVE-2024-45759MEDIUMDell PowerProtect Data Domain, versions prior to 8.1.0.0, 7.13.1.10, 7.10.1.40, and 7.7.5.50, contains an escalation of privilege vulnerabilEPSS 0.1%CVE-2025-13130HIGHRadarr Service Radarr.Console.exe default permissionEPSS 0.1%CVE-2024-29119HIGHA vulnerability has been identified in Spectrum Power 7 (All versions < V24Q3). The affected product contains several root-owned SUID binariEPSS 0.1%CVE-2026-77654MEDIUMLocal Privilege Escalation via Misconfigured Sudoers Entry in Horizon Security AnalyzerEPSS 0.1%