Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2024-56513HIGHKarmada PULL Mode Cluster Privilege EscalationEPSS 0.5%CVE-2025-3398MEDIUMlenve VBlog WebSecurityConfig.java configure access controlEPSS 0.5%CVE-2026-86212MEDIUMOpen5GS AMF/MME improper authorizationEPSS 0.5%CVE-2024-35700CRITICALWordPress UserPro plugin <= 5.1.8 - Unauthenticated Account Takeover vulnerabilityEPSS 0.5%CVE-2024-37927CRITICALWordPress Jobmonster theme <= 4.7.5 - Unauthenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-4629MEDIUMKeycloak: keycloak: privilege escalation through hardcoded role mapper injectionEPSS 0.5%CVE-2025-4819LOWy_project RuoYi Offline Logout batchForceLogout improper authorizationEPSS 0.5%CVE-2026-86275MEDIUMSourceCodester Syllabus-Aligned Learning Management & Examination System auth.php register privileges managementEPSS 0.5%CVE-2024-40681HIGHIBM MQ security bypassEPSS 0.5%CVE-2026-65507CRITICALWordPress AIWU plugin <= 1.5.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66424CRITICALWordPress SMS Alert Order Notifications plugin <= 3.9.7 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66648CRITICALWordPress Jawn theme <= 1.4.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-73390CRITICALWordPress Total Donations plugin <= 2.0.5 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-78267CRITICALWordPress TranslatePress plugin <= 3.3.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-84814CRITICALWordPress Bricksforge plugin <= 3.1.8.8 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-73347CRITICALWordPress TrueBooker plugin <= 1.2.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-59540CRITICALWordPress SMS Alert Order Notifications plugin <= 3.9.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66682CRITICALWordPress Abandoned Cart Pro for WooCommerce plugin <= 10.4.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-56033CRITICALWordPress Dokan Pro plugin <= 5.0.4 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-28165CRITICALWordPress Digits plugin <= 9.2 - Privilege Escalation vulnerabilityEPSS 0.5%