Falhas do tipo CWE-276

981 resultados

Permissões padrão incorretas

Ocorre quando um recurso (arquivo, diretório, registro, objeto) é criado com permissões padrão que são muito permissivas, permitindo acesso não autorizado. O código não define explicitamente permissões restritivas, deixando o sistema usar padrões inseguros que muitas vezes permitem leitura ou escrita por usuários não previstos.

Exemplo

Um aplicativo cria um arquivo de configuração com credenciais em /tmp/config.ini sem definir permissões — o sistema deixa o arquivo legível por qualquer usuário local (644), expondo senhas. Ou um diretório de upload recebe 777 como padrão, permitindo que qualquer pessoa execute scripts maliciosos nele.

Como mitigar

Sempre defina permissões explícitas e restritivas no momento da criação (umask 0077 para sensíveis, validar permissões em código). Para arquivos com secrets, use 0600 (apenas proprietário); para diretórios de aplicação, 0755 no máximo. Valide periodicamente permissões em produção e documente o modelo de acesso esperado.

CVE-2026-24063HIGHWorld-writable uninstall script executed as root in Arturia Software CenterEPSS 0.1%CVE-2024-23974MEDIUMIncorrect default permissions in some Intel(R) ISH software installers may allow an authenticated user to potentially enable escalation of pEPSS 0.1%CVE-2026-82165MEDIUMDell Command | Integration Suite for System Center, versions prior to 6.7.2, contain an Incorrect Default Permissions vulnerability. A low pEPSS 0.1%CVE-2023-43747MEDIUMIncorrect default permissions for some Intel(R) Connectivity Performance Suite software installers before version 2.0 may allow an authenticEPSS 0.1%CVE-2024-22378MEDIUMIncorrect default permissions in some Intel Unite(R) Client Extended Display Plugin software installers before version 1.1.352.157 may allowEPSS 0.1%CVE-2026-82163MEDIUMDell Command | Intel vPro Out of Band, versions prior to 4.7.2, contain an Incorrect Default Permissions vulnerability. A low privileged attEPSS 0.1%CVE-2023-30902—A privilege escalation vulnerability in the Trend Micro Apex One and Apex One as a Service agent could allow a local attacker to unintentionEPSS 0.1%CVE-2026-44875HIGHIn HPE Cray Programming Environment versions 25.03 and 25.09, prior to 26.03, the method that CPE is deployed on HPCM potentially allows eleEPSS 0.1%CVE-2025-39201MEDIUMA vulnerability exists in MicroSCADA X SYS600 product. If exploited this could allow a local unauthenticated attacker to tamper a system filEPSS 0.1%CVE-2026-101472MEDIUMVulnerability in the Oracle Product Lifecycle Analytics product of Oracle Supply Chain (component: Installation Issues). The supported verEPSS 0.1%CVE-2025-43725HIGHDell PowerProtect Data Manager, Generic Application Agent, version(s) 19.19 and 19.20, contain(s) an Incorrect Default Permissions vulnerabiEPSS 0.1%CVE-2023-29244MEDIUMIncorrect default permissions in some Intel Integrated Sensor Hub (ISH) driver for Windows 10 for Intel NUC P14E Laptop Element software insEPSS 0.1%CVE-2026-9634HIGHRedundancy Module Configuration Tool - Multiple VulnerabilitiesEPSS 0.1%CVE-2025-55111MEDIUMBMC Control-M/Agent insecure default file permissionsEPSS 0.1%CVE-2024-23495MEDIUMIncorrect default permissions in some Intel(R) Distribution for GDB software before version 2024.0.1 may allow an authenticated user to poteEPSS 0.1%CVE-2026-28717MEDIUMLocal privilege escalation due to improper directory permissions. The following products are affected: Acronis Cyber Protect 17 (Windows) beEPSS 0.1%CVE-2026-9633HIGHRedundancy Module Configuration Tool - Multiple VulnerabilitiesEPSS 0.1%CVE-2022-20475HIGHIn test of ResetTargetTaskHelper.java, there is a possible hijacking of any app which sets allowTaskReparenting="true" due to a confused depEPSS 0.1%CVE-2025-53811MEDIUMTCC Bypass via misconfigured Node fuses in Mosh-ProEPSS 0.1%CVE-2025-48959MEDIUMLocal privilege escalation due to insecure file permissions. The following products are affected: Acronis Cyber Protect Cloud Agent (WindowsEPSS 0.1%