Falhas do tipo CWE-266

1.291 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2024-56513HIGHKarmada PULL Mode Cluster Privilege EscalationEPSS 0.5%CVE-2025-3398MEDIUMlenve VBlog WebSecurityConfig.java configure access controlEPSS 0.5%CVE-2026-86212MEDIUMOpen5GS AMF/MME improper authorizationEPSS 0.5%CVE-2024-35700CRITICALWordPress UserPro plugin <= 5.1.8 - Unauthenticated Account Takeover vulnerabilityEPSS 0.5%CVE-2024-37927CRITICALWordPress Jobmonster theme <= 4.7.5 - Unauthenticated Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-4629MEDIUMKeycloak: keycloak: privilege escalation through hardcoded role mapper injectionEPSS 0.5%CVE-2025-4819LOWy_project RuoYi Offline Logout batchForceLogout improper authorizationEPSS 0.5%CVE-2026-86275MEDIUMSourceCodester Syllabus-Aligned Learning Management & Examination System auth.php register privileges managementEPSS 0.5%CVE-2024-40681HIGHIBM MQ security bypassEPSS 0.5%CVE-2026-65507CRITICALWordPress AIWU plugin <= 1.5.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-59540CRITICALWordPress SMS Alert Order Notifications plugin <= 3.9.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-73390CRITICALWordPress Total Donations plugin <= 2.0.5 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-78267CRITICALWordPress TranslatePress plugin <= 3.3.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66648CRITICALWordPress Jawn theme <= 1.4.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-84814CRITICALWordPress Bricksforge plugin <= 3.1.8.8 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66424CRITICALWordPress SMS Alert Order Notifications plugin <= 3.9.7 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-73347CRITICALWordPress TrueBooker plugin <= 1.2.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66682CRITICALWordPress Abandoned Cart Pro for WooCommerce plugin <= 10.4.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-56033CRITICALWordPress Dokan Pro plugin <= 5.0.4 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-32558CRITICALWordPress Affiliate Pro - Affiliate Program for WooCommerce & WordPress plugin <= 8.9.1 - Privilege Escalation vulnerabilityEPSS 0.5%