Fallos del tipo CWE-266

1296 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-55707HIGHWordPress PostX Plugin <= 4.1.35 - Privilege Escalation VulnerabilityEPSS 0.4%CVE-2024-9479CRITICALImproper Privilege Management vulnerability in upKeeper Solutions upKeeper Instant Privilege Access allows Privilege Escalation.This issue aEPSS 0.4%CVE-2024-9478CRITICALImproper Privilege Management vulnerability in upKeeper Solutions upKeeper Instant Privilege Access allows Privilege Escalation.This issue aEPSS 0.4%CVE-2026-1733MEDIUMZhong Bang CRMEB :uni tidyOrder improper authorizationEPSS 0.4%CVE-2025-49924HIGHWordPress Wholesale Suite plugin <= 2.2.4.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-9687MEDIUMPortabilis i-Educar processamentoApi improper authorizationEPSS 0.4%CVE-2026-33997MEDIUMMoby: Off-by-one error in plugin privilege validationEPSS 0.4%CVE-2025-9609MEDIUMPortabilis i-Educar consulta improper authorizationEPSS 0.4%CVE-2026-33390HIGHIncorrect privilege assignment for Arc sensors in Guardian/CMC before 26.2.0EPSS 0.4%CVE-2026-91930HIGHFlowise before 3.1.4 Cross-Tenant Organization Admin TakeoverEPSS 0.4%CVE-2026-78115MEDIUMSourceCodester Class and Exam Timetabling System User Account Update edit_user_account.php improper authorizationEPSS 0.4%CVE-2025-67953HIGHWordPress Booking Activities plugin <= 1.16.44 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-14693MEDIUMSourceCodester Multi-Vendor Online Grocery Management System Master.php cancel_order improper authorizationEPSS 0.4%CVE-2026-114361MEDIUMHarnessRouter Identity Mode app.py improper authorizationEPSS 0.4%CVE-2023-39173MEDIUMIn JetBrains TeamCity before 2023.05.2 a token with limited permissions could be used to gain full account accessEPSS 0.4%CVE-2025-6702MEDIUMlinlinjava litemall post improper authorizationEPSS 0.4%CVE-2025-14282MEDIUMDropbear: privilege escalation via unix domain socket forwardingsEPSS 0.4%CVE-2026-106610CRITICALWordPress miniorange otp verification plugin <= 5.5.7 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-39459HIGHWordPress Real Estate 7 theme <= 3.5.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-31524HIGHWordPress WP User Profiles plugin <= 2.6.2 - Privilege Escalation vulnerabilityEPSS 0.4%