Falhas do tipo CWE-266

1.296 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2025-60195CRITICALWordPress Atarim plugin <= 4.2.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-119481CRITICALWordPress JetFormBuilder plugin <= 3.6.7.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-65555CRITICALWordPress Uncanny Toolkit for LearnDash plugin <= 3.8.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2023-3114MEDIUMTerraform Enterprise Agent Pool Controls Allowed Unauthorized Workspaces To Target an Agent PoolEPSS 0.4%CVE-2019-25249HIGHdevolo dLAN 500 AV Wireless+ 3.1.0-1 Remote Code Execution via htmlmgrEPSS 0.4%CVE-2024-49644HIGHWordPress Accessibility by AllAccessible plugin <= 1.3.4 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-19986MEDIUMAdblock for Youtube Extension Event Listener contentscript.js updateDynamicRules improper authorizationEPSS 0.4%CVE-2024-50481HIGHWordPress Bstone Demo Importer plugin <= 1.0.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-49608HIGHWordPress GERRYWORKS Post by Mail plugin <= 1.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-3305MEDIUM1902756969/code-projects IKUN_Library Borrow MvcConfig.java addInterceptors access controlEPSS 0.4%CVE-2025-3298MEDIUMSourceCodester Online Eyewear Shop Registration Master.php access controlEPSS 0.4%CVE-2024-56280HIGHWordPress WPGuppy plugin <= 1.1.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2024-49219HIGHWordPress RS-Members plugin <= 1.0.3 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-32561HIGHWordPress Booking Hub plugin <= 1.3.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-28111HIGHWordPress Forminator plugin <= 1.56.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-57410HIGHWordPress MailerPress plugin <= 2.0.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-62106HIGHWordPress SMS Alert Order Notifications plugin <= 3.9.9 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-57386HIGHWordPress aBlocks plugin < 2.9.1 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-56010HIGHWordPress Abandoned Cart Pro for WooCommerce plugin <= 10.4.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-62102HIGHWordPress Gato GraphQL plugin <= 19.2.3 - Privilege Escalation vulnerabilityEPSS 0.4%