Falhas do tipo CWE-266

1.291 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-56033CRITICALWordPress Dokan Pro plugin <= 5.0.4 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-15689CRITICALWordPress Capella theme <= 2.5.5 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-65507CRITICALWordPress AIWU plugin <= 1.5.6 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-81294CRITICALWordPress Authorizer plugin <= 3.15.1 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-28165CRITICALWordPress Digits plugin <= 9.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66648CRITICALWordPress Jawn theme <= 1.4.2 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-66682CRITICALWordPress Abandoned Cart Pro for WooCommerce plugin <= 10.4.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-57813CRITICALWordPress MailOptin plugin <= 1.2.77.3 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2026-73390CRITICALWordPress Total Donations plugin <= 2.0.5 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2024-50504HIGHWordPress Bulk Change Role plugin <= 1.1 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-48082HIGHWordPress Progress Planner plugin <= 1.8.0 - Privilege Escalation vulnerabilityEPSS 0.5%CVE-2025-11853MEDIUMSismics Teedy API Endpoint file access controlEPSS 0.5%CVE-2026-2983MEDIUMSourceCodester Student Result Management System Bulk Import import_users.php access controlEPSS 0.5%CVE-2026-77686MEDIUMDolibarr Account card.php improper authorizationEPSS 0.5%CVE-2026-3121MEDIUMKeycloak: org.keycloak/keycloak-services: keycloak: privilege escalation via manage-clients permissionEPSS 0.5%CVE-2026-32916CRITICALOpenClaw 2026.3.7 < 2026.3.11 - Authorization Bypass in Plugin Subagent Routes via Synthetic Admin ScopesEPSS 0.5%CVE-2025-8795MEDIUMLitmusChaos Litmus login access controlEPSS 0.5%CVE-2022-4232MEDIUMSourceCodester Event Registration System unrestricted uploadEPSS 0.5%CVE-2025-5425MEDIUMjuzaweb CMS Theme Editor Page default access controlEPSS 0.5%CVE-2026-73804HIGHGitea API token scope escalation through HTTP signaturesEPSS 0.5%