Falhas do tipo CWE-266

1.302 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2025-57797HIGHIncorrect privilege assignment vulnerability exists in ScanSnap Manager installers versions prior to V6.5L61. If this vulnerability is exploEPSS 0.1%CVE-2025-42992MEDIUMMultiple Privilege Escalation Vulnerabilities in SAPCAREPSS 0.1%CVE-2025-13131HIGHSonarr Service Sonarr.Console.exe default permissionEPSS 0.1%CVE-2026-4824HIGHEnter Software Iperius Backup Backup Job Configuration File privileges managementEPSS 0.1%CVE-2025-0135MEDIUMGlobalProtect App on macOS: Non Admin User Can Disable the GlobalProtect AppEPSS 0.1%CVE-2025-58323HIGHNAVER MYBOX Explorer for Windows before 3.0.8.133 allows a local attacker to escalate privileges to NT AUTHORITY\SYSTEM by executing arbitraEPSS 0.1%CVE-2025-10576HIGHSound Research SECOMNService Escalation of PrivilegeEPSS 0.1%CVE-2025-10577HIGHSound Research SECOMNService Escalation of PrivilegeEPSS 0.1%CVE-2024-25083MEDIUMAn issue was discovered in BeyondTrust Privilege Management for Windows before 24.1. When an low-privileged user initiates a repair, there iEPSS 0.1%CVE-2026-20110MEDIUMA vulnerability in the CLI of Cisco IOS XE Software could allow an authenticated, local attacker to cause a denial of service (DoS) conditioEPSS 0.1%CVE-2026-45259MEDIUMsigqueue(2) missing capability mode restrictionEPSS 0.1%CVE-2026-49413HIGHFlaw in Linuxulator execution of setugid binariesEPSS 0.1%CVE-2025-36007HIGHIBM QRadar SIEM incorrect privilege assignmentEPSS 0.1%CVE-2026-22078HIGHO+ Connect's lack of authentication for IPC channels led to a local privilege escalation vulnerability.EPSS 0.1%CVE-2025-48911HIGHVulnerability of improper permission assignment in the note sharing module Impact: Successful exploitation of this vulnerability may affect EPSS 0.1%CVE-2025-58322HIGHNAVER MYBOX Explorer for Windows before 3.0.8.133 allows a local attacker to escalate privileges to NT AUTHORITY\SYSTEM by invoking arbitrarEPSS 0.1%CVE-2025-36613LOWSupportAssist for Home PCs versions 4.6.3 and prior and SupportAssist for Business PCs versions 4.5.3 and prior, contain(s) an Incorrect PriEPSS 0.1%CVE-2026-3671MEDIUMFreedom Factory dGEN1 org.ethereumphone.walletmanager.testing123 TokenBalanceContentProvider improper authorizationEPSS 0.1%CVE-2024-0085MEDIUMCVEEPSS 0.1%CVE-2026-3669MEDIUMFreedom Factory dGEN1 com.dgen.alarm AlarmService improper authorizationEPSS 0.1%