Falhas do tipo CWE-266

1.297 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2025-62007HIGHWordPress Voice Feedback plugin <= 1.0.3 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-3981MEDIUMwowjoy 浙江湖州华卓信息科技有限公司 Internet Doctor Workstation System details improper authorizationEPSS 0.4%CVE-2026-107424CRITICALWordPress Frontend Dashboard plugin <= 3.0.7 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-19996MEDIUMWebkul Bagisto Backend Customer Behavior Data Endpoint customers privileges managementEPSS 0.4%CVE-2026-90507MEDIUMvvbbnn00 WARP-Clash-API Subscription subscription.py get_surge_subscription access controlEPSS 0.4%CVE-2026-54805HIGHWordPress Falang multilanguage plugin <= 1.4.2 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-59563HIGHWordPress Sonaar theme <= 4.27.4 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2025-49867CRITICALWordPress RealHomes theme <= 4.4.0 - Privilege Escalation vulnerabilityEPSS 0.4%CVE-2026-114245MEDIUMdhikshitha29 Insurance-Management-System Add New Admin Form Admin-Register-inc.php improper authorizationEPSS 0.4%CVE-2025-10374MEDIUMShenzhen Sixun Business Management System OperatorStop improper authorizationEPSS 0.4%CVE-2026-19360MEDIUMwongcyrus ExcelLexBot Lambda Function ExcelLexBotS3TriggerFunction privileges managementEPSS 0.4%CVE-2026-5526MEDIUMTenda 4G03 Pro httpd access controlEPSS 0.4%CVE-2026-19359MEDIUMnxp-auto-goldvip gvip Lambda Function SitewiseCustomFunction access controlEPSS 0.4%CVE-2025-10073MEDIUMPortabilis i-Educar turma improper authorizationEPSS 0.4%CVE-2025-10390MEDIUMCRMEB UserAddressServices.php editAddress improper authorizationEPSS 0.4%CVE-2025-10384MEDIUMyangzongzhuan RuoYi Role cancelAll improper authorizationEPSS 0.4%CVE-2026-17434MEDIUMnanocoai NanoClaw add_mcp_server request.ts handleAddMcpServer improper authorizationEPSS 0.4%CVE-2026-18993MEDIUMNousResearch hermes-agent Memory Toolset model_tools.py access controlEPSS 0.4%CVE-2026-13544MEDIUMFeehi CMS API users access controlEPSS 0.4%CVE-2025-3977MEDIUMiteachyou Dreamer CMS Attachment download improper authorizationEPSS 0.4%