Falhas do tipo CWE-266

1.299 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-95719MEDIUMAuthenticated Arbitrary File Deletion Vulnerability leads to Denial-of-Service in AOS-10EPSS 0.3%CVE-2026-13511LOWVoltAgent Memory REST API memory.handlers.ts handleGetMemoryConversation improper authorizationEPSS 0.3%CVE-2026-110373HIGHWordPress Login with phone number plugin <= 1.8.77 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-6201MEDIUMCodeAstro Online Job Portal Delete Job Posting job-delete.php access controlEPSS 0.3%CVE-2026-32520CRITICALWordPress RewardsWP plugin <= 1.0.4 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-6564MEDIUMEMQ EMQX Enterprise Session Handling improper authorizationEPSS 0.3%CVE-2026-24971CRITICALWordPress Search & Go theme <= 2.8 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-5484MEDIUMBookStackApp BookStack Chapter Export ExportFormatter.php chapterToMarkdown access controlEPSS 0.3%CVE-2026-66661HIGHWordPress Directories Pro plugin <= 2.0.5 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-27051CRITICALWordPress Golo theme <= 1.7.0 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-1881MEDIUMi-Drive i11/i12 Video Footage/Live Video Stream access controlEPSS 0.3%CVE-2026-42731CRITICALWordPress miniorange otp verification plugin <= 5.4.9 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-27095MEDIUMJumpServer has a Kubernetes Token Leak VulnerabilityEPSS 0.3%CVE-2025-68027HIGHWordPress Hydra Booking plugin <= 1.1.32 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-7552MEDIUMDromara Northstar Path AuthorizationInterceptor.java preHandle access controlEPSS 0.3%CVE-2026-81792MEDIUMWordPress Product Catalog Enquiry for WooCommerce by MultiVendorX plugin <= 6.1.5 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2026-97245HIGHWordPress SureCart plugin <= 4.7.2 - Privilege Escalation vulnerabilityEPSS 0.3%CVE-2025-3517MEDIUMIncorrect privilege assignment in PAM JIT elevation feature in Devolutions Server 2025.1.5.0 and earlier allows a PAM user to elevate a prevEPSS 0.3%CVE-2025-0783MEDIUMpankajindevops scale API Endpoint access controlEPSS 0.3%CVE-2024-52049HIGHA LogServer link following vulnerability in Trend Micro Apex One could allow a local attacker to escalate privileges on affected installatioEPSS 0.3%