Weaknesses of type CWE-146

10 results

Neutralização inadequada de delimitadores de expressão/comando

Ocorre quando um aplicativo falha em remover ou escapar caracteres especiais que delimitam expressões ou comandos (como aspas, ponto-e-vírgula, pipes, etc.), permitindo que um atacante injete código ou comandos maliciosos. O perigo: dados não confiáveis são interpretados como parte da sintaxe, não como dado inerte.

Example

Um script recebe um nome de usuário via formulário e o insere diretamente em um comando SQL ou shell sem sanitização. Se o input contiver um delimitador como ' ou ;, o atacante pode fechar a expressão legítima e injetar seu próprio comando, alterando a lógica da aplicação.

How to mitigate

Use prepared statements/parameterized queries para SQL, escape rigoroso de caracteres especiais conforme o contexto (shell, regex, XML), e valide entrada contra um whitelist de caracteres permitidos. Nunca confie em dados do usuário como código ou comando.

CVE-2023-20128HIGHCisco Small Business RV320 and RV325 Dual Gigabit WAN VPN Routers Command Injection VulnerabilitiesEPSS 30.4%CVE-2023-20117HIGHCisco Small Business RV320 and RV325 Dual Gigabit WAN VPN Routers Command Injection VulnerabilitiesEPSS 30.4%CVE-2024-20329CRITICALCisco Adaptive Security Appliance Software Remote Command Injection VulnerabilityEPSS 1.2%CVE-2022-4055HIGHWhen xdg-mail is configured to use thunderbird for mailto URLs, improper parsing of the URL can lead to additional headers being passed to tEPSS 0.7%CVE-2024-20470MEDIUMCisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Remote Code Execution VulnerabilityEPSS 0.6%CVE-2025-53192HIGHApache Commons OGNL: Expression Injection leading to RCEEPSS 0.6%CVE-2026-20288MEDIUMCisco IMC Remote Code Execution Vulnerability Remote Code Execution VulnerabilityEPSS 0.4%CVE-2026-22266MEDIUMDell PowerProtect Data Manager, version(s) prior to 19.22, contain(s) an Improper Verification of Source of a Communication Channel vulnerabEPSS 0.3%CVE-2023-20035HIGHCisco IOS XE SD-WAN Software Command Injection VulnerabilityEPSS 0.2%CVE-2025-20237MEDIUMA vulnerability in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software EPSS 0.2%