Falhas do tipo CWE-266

1.291 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2025-69183HIGHWordPress Hospital Doctor Directory plugin <= 1.3.9 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-69182HIGHWordPress Institutions Directory plugin <= 1.3.4 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-93968MEDIUMaiyiyi121 SxDevOps UserSerializer serializers.py update privileges managementEPSS 0.4%CVE-2024-54229CRITICALWordPress SV100 Companion plugin <= 2.0.02 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2023-3518HIGHJWT Auth in L7 Intentions Allow For Mismatched Service Identity and JWT Providers for AccessEPSS 0.4%CVE-2025-22736HIGHWordPress User Management plugin <= 1.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-12303MEDIUMIncorrect Privilege Assignment in GitLabEPSS 0.4%CVE-2019-11893MEDIUMIncorrect privilege assignment in the app permission update API of the Bosch Smart Home Controller (SHC)EPSS 0.4%CVE-2024-51888CRITICALWordPress Homey Login Register Plugin <= 2.4.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-22303HIGHWordPress Houzez theme <= 3.2.4 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-21743HIGHWordPress Houzez Login Register plugin <= 3.2.5 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-56251HIGHCapgo - Privilege Escalation via Broken Row Level Security in org_usersEPSS 0.4%CVE-2025-32648CRITICALWordPress Projectopia plugin <= 5.1.24 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-72840HIGHOpenWrt LuCI luci-mod-system-mounts ACL Root RCE via Crontab WriteEPSS 0.4%CVE-2026-56247HIGHCapgo - Privilege Escalation via Cross-Scope RBAC Role AssignmentEPSS 0.4%CVE-2025-2637MEDIUMJIZHICMS Account Profile Page userinfo.html improper authorizationEPSS 0.4%CVE-2024-43333HIGHWordPress Admin and Site Enhancements (ASE) Pro Plugin <= 7.6.2.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-6765MEDIUMIntelbras InControl HTTP PUT Request operador permissionEPSS 0.4%CVE-2025-10318MEDIUMJeecgBoot WebSocket Message sendWebSocketMsg improper authorizationEPSS 0.4%CVE-2026-22907CRITICALAn attacker may gain unauthorized access to the host filesystem, potentially allowing them to read and modify system data.EPSS 0.4%