Fallos del tipo CWE-266

1296 resultados

Atribuição Incorreta de Privilégios

Quando um sistema concede permissões ou privilégios a um usuário, processo ou recurso de forma inadequada — maior que o necessário ou para a entidade errada. Isso permite que atacantes escalem privilégios ou acessem dados/funcionalidades que não deveriam ter.

Ejemplo

Um aplicativo web cria uma pasta temporária com permissões 777 (leitura, escrita e execução para todos), ou um serviço Windows roda como SYSTEM quando deveria rodar como usuário comum. Outro cenário: uma função administrativa fica acessível via URL sem validação, permitindo qualquer usuário logado executá-la.

Cómo mitigar

Aplique o princípio do menor privilégio: conceda apenas as permissões mínimas necessárias. Use ACLs restritivas, validação de roles/permissões em cada função sensível, execute serviços com contas de baixo privilégio, e mantenha auditoria de mudanças de permissões.

CVE-2025-9937MEDIUMelunez eladmin LocalStorageController deleteFile improper authorizationEPSS 0.4%CVE-2026-27407HIGHWordPress AI Engine plugin <= 3.4.9 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-49379HIGHWordPress Custom Fields Account Registration For Woocommerce plugin <= 1.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-60222HIGHWordPress SUMO Memberships for WooCommerce plugin <= 7.8.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-59580HIGHWordPress Goodlayers Core plugin < 2.1.7 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-24373HIGHWordPress RegistrationMagic plugin <= 6.0.7.1 - Account Takeover vulnerabilityEPSS 0.4%CVE-2025-60211HIGHWordPress WooCommerce Registration Fields Plugin - Custom Signup Fields plugin <= 3.2.3 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-103532MEDIUMimmich-app Immich Shared Link Preview access.ts checkSharedLinkAccess improper authorizationEPSS 0.4%CVE-2026-47237HIGHKubeflow Community Distribution: Overly Permissive Istio Permissions Allows Kubeflow Authorization Token StealingEPSS 0.4%CVE-2026-9517MEDIUMhemant6488 CodeIgniter-StudentManagementSystem Student Management addStudentView access controlEPSS 0.4%CVE-2025-64761HIGHOpenBao Privileged Operator Identity Group Root EscalationEPSS 0.4%CVE-2025-69138HIGHWordPress Genemy theme <= 1.6.6 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-15126LOWJeecgBoot getPositionUserList improper authorizationEPSS 0.4%CVE-2026-108890MEDIUMBlackBeltTechnology pi-agent-dashboard Terminal terminal-handler.ts terminalManager.spawn improper authorizationEPSS 0.4%CVE-2026-45216HIGHWordPress Smart Manager plugin <= 8.85.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-11049MEDIUMPortabilis i-Educar unificacao-aluno improper authorizationEPSS 0.4%CVE-2025-11048MEDIUMPortabilis i-Educar consulta-dispensas improper authorizationEPSS 0.4%CVE-2025-11050MEDIUMPortabilis i-Educar periodo-lancamento improper authorizationEPSS 0.4%CVE-2025-11047MEDIUMPortabilis i-Educar aluno improper authorizationEPSS 0.4%CVE-2025-10608MEDIUMPortabilis i-Educar enrollment-history access controlEPSS 0.4%