Falhas do tipo CWE-266

1.291 resultados

Atribuição incorreta de privilégios

A aplicação concede permissões ou privilégios a usuários ou processos sem validar adequadamente se essa concessão é apropriada. Isso permite que um atacante escale privilégios, acesse recursos restritos ou execute operações que não deveria estar autorizado a fazer.

Exemplo

Um sistema de backup automático roda com permissões de root para acessar todos os arquivos, mas a interface de administração permite que qualquer usuário autenticado (até nível guest) configure quais diretórios fazer backup — criando a possibilidade de exfiltração de dados sensíveis através de um privilégio excessivamente amplo.

Como mitigar

Aplique princípio do menor privilégio: execute processos e serviços com o mínimo de permissão necessária; valide explicitamente cada mudança de contexto de segurança (ownership, grupos, capabilities) e auditore quem fez a concessão; use controle de acesso baseado em papéis (RBAC) com definições claras de qual papel pode executar qual operação.

CVE-2026-15271HIGHTOTOLINK EX200 Web boa.conf least privilege violationEPSS 0.7%CVE-2023-6815MEDIUMIncorrect Privilege Assignment vulnerability in Mitsubishi Electric Corporation MELSEC iQ-R Series Safety CPU R08/16/32/120SFCPU all versionEPSS 0.7%CVE-2025-13888CRITICALOpenshift-gitops-operator: openshift gitops: namespace admin cluster takeover via privileged jobsEPSS 0.7%CVE-2026-86830HIGHIncorrect privilege assignment in Temporary Elevated Access Management (TEAM) for AWS IAM Identity CenterEPSS 0.7%CVE-2024-10978MEDIUMPostgreSQL SET ROLE, SET SESSION AUTHORIZATION reset to wrong user IDEPSS 0.7%CVE-2024-32444CRITICALWordPress RealHomes theme <= 4.3.6 - Privilege Escalation vulnerabilityEPSS 0.7%CVE-2025-3236MEDIUMTenda FH1202 Web Management Interface VirSerDMZ access controlEPSS 0.7%CVE-2022-3770MEDIUMYunjing CMS upload_img.html unrestricted uploadEPSS 0.7%CVE-2023-50437HIGHAn issue was discovered in Couchbase Server before 7.2.x before 7.2.4. otpCookie is shown with full admin on pools/default/serverGroups and EPSS 0.7%CVE-2025-53744MEDIUMAn incorrect privilege assignment vulnerability [CWE-266] in FortiOS Security Fabric version 7.6.0 through 7.6.2, 7.4.0 through 7.4.7, 7.2 aEPSS 0.7%CVE-2025-2992MEDIUMTenda FH1202 Web Management Interface AdvSetWrlsafeset access controlEPSS 0.7%CVE-2025-4118MEDIUMWeitong Mall Product History historyList access controlEPSS 0.7%CVE-2025-2955MEDIUMTOTOLINK A3000RU IBMS Configuration File ExportIbmsConfig.sh access controlEPSS 0.7%CVE-2025-2994MEDIUMTenda FH1202 Web Management Interface qossetting access controlEPSS 0.7%CVE-2025-26512CRITICALCVE-2025-26512 Privilege Escalation Vulnerability in SnapCenterEPSS 0.7%CVE-2025-2990MEDIUMTenda FH1202 Web Management Interface AdvSetWrlGstset access controlEPSS 0.7%CVE-2025-2989MEDIUMTenda FH1202 Web Management Interface AdvSetWrl access controlEPSS 0.7%CVE-2025-5409MEDIUMMist Community Edition API Token views.py create_token access controlEPSS 0.7%CVE-2021-20208—A flaw was found in cifs-utils in versions before 6.13. A user when mounting a krb5 CIFS file system from within a container can use KerberoEPSS 0.7%CVE-2024-12213CRITICALWP Job Board Pro < 1.2.85 - Unauthenticated Privilege Escalation via process_registerEPSS 0.7%