Fallos del tipo CWE-266

1291 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2024-6758MEDIUMImproper Privilege Management vulnerability in Sprecher Automation SPRECON-EEPSS 0.4%CVE-2025-54697HIGHWordPress Kadence WooCommerce Email Designer Plugin <= 1.5.16 - Privilege Escalation VulnerabilityEPSS 0.4%CVE-2026-19928MEDIUMOpenBoxes Role Interceptor RoleInterceptor.groovy needManager privileges managementEPSS 0.4%CVE-2024-9779HIGHOpen-cluster-management-io/ocm: cluster-manager permissions may allow a worker node to obtain service account tokensEPSS 0.4%CVE-2025-49401CRITICALWordPress smart SEO Plugin <= 4.0 - Privilege Escalation VulnerabilityEPSS 0.4%CVE-2026-39753CRITICALWordPress Taskbot plugin <= 6.6 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-39761CRITICALWordPress Meta Box AIO plugin <= 3.7.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-96350CRITICALWordPress Estatik plugin <= 4.3.5 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-39801CRITICALWordPress AIWU plugin <= 1.5.9 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-60243CRITICALWordPress Selling Commander for WooCommerce plugin <= 1.2.46 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2023-3072MEDIUMNomad ACL Policies without Label are Applied to Unexpected ResourcesEPSS 0.4%CVE-2025-53425HIGHWordPress Dokan plugin <= 4.1.3 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-5522MEDIUMjack0240 魏 bskms 蓝天幼儿园管理系统 User Creation addUser improper authorizationEPSS 0.4%CVE-2025-64188CRITICALWordPress Soledad theme <= 8.6.9 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-11497MEDIUMD-Link DCS-5615 Boa Webserver boa.conf least privilege violationEPSS 0.4%CVE-2026-12771LOWBerriAI litellm M2M JWT user_api_key_auth.py improper authorizationEPSS 0.4%CVE-2026-105445CRITICALDocker Hub account conversion could reassign an active personal access token to another userEPSS 0.4%CVE-2024-32959HIGHWordPress Sirv plugin <= 7.2.2 - Arbitrary Option Update to Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-48197HIGHWordPress PublishPress Capabilities plugin <= 2.45.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-39765HIGHWordPress Challan plugin <= 3.7.88 - Privilege Escalation vulnerabilityEPSS 0.4%