Falhas do tipo CWE-266

1.291 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-12770MEDIUMBerriAI litellm Admin Key key_management_endpoints.py improper authorizationEPSS 0.6%CVE-2023-3300MEDIUMNomad Search API Leaks Information About CSI PluginsEPSS 0.6%CVE-2024-11073MEDIUMSourceCodester Hospital Management System delete-account.php improper authorizationEPSS 0.6%CVE-2025-33179HIGHNVIDIA Cumulus Linux and NVOS products contain a vulnerability in the NVUE interface, where a low-privileged user could run an unauthorized EPSS 0.6%CVE-2024-54365HIGHWordPress KH Easy User Settings plugin <= 1.0.0 - Privilege Escalation vulnerabilityEPSS 0.6%CVE-2025-4064MEDIUMScriptAndTools Online-Travling-System viewenquiry.php access controlEPSS 0.6%CVE-2025-4017MEDIUM20120630 Novel-Plus LogController.java list improper authorizationEPSS 0.6%CVE-2025-4067MEDIUMScriptAndTools Online-Travling-System viewpackage.php access controlEPSS 0.6%CVE-2025-0484MEDIUMFanli2012 native-php-cms Backend sysconfig_doedit.php improper authorizationEPSS 0.6%CVE-2026-94036HIGHD-Link DIR-X1860/DIR-X1860Z routerd ubus access controlEPSS 0.6%CVE-2025-11646MEDIUMTomofun Furbo 360/Furbo Mini GATT Service access controlEPSS 0.6%CVE-2026-3817MEDIUMSourceCodester Patients Waiting Area Queue Management System patient-search.php improper authorizationEPSS 0.6%CVE-2022-3771MEDIUMeasyii CMS File Upload Management Upload.php file unrestricted uploadEPSS 0.6%CVE-2026-5136HIGHForeman: foreman: privilege escalation to administrator-level access via usergroup role assignment manipulationEPSS 0.6%CVE-2023-5913HIGHA potential Privilege Escalation vulnerability in opentext Fortify ScanCentral DAST API.EPSS 0.6%CVE-2025-3255MEDIUMxujiangfei admintwo home access controlEPSS 0.6%CVE-2022-2637MEDIUMPrivilege Escalation Vulnerability in Hitachi Storage Plug-in for VMware vCenterEPSS 0.6%CVE-2022-3735MEDIUMseccome Ehoney signup access controlEPSS 0.6%CVE-2026-64639CRITICALIncorrect database cloning process in Plesk from 18.0.52 before 18.0.79.6 and 18.0.80.2 allows a low-privileged user (customer, reseller) toEPSS 0.6%CVE-2025-2688MEDIUMTOTOLINK A3000RU Syslog Configuration File ExportSyslog.sh access controlEPSS 0.6%