Weaknesses of type CWE-74

5,079 results

Injeção de código

É quando uma aplicação incorpora dados não validados em um comando ou consulta que será interpretado como código. O atacante consegue injetar instruções maliciosas que são executadas com os privilégios da aplicação, como SQL, shell ou XML.

Example

Um formulário de login que monta uma query SQL concatenando diretamente a entrada do usuário: `SELECT * FROM usuarios WHERE email = '` + email_usuario + `'`. Um atacante digita `' OR '1'='1` e consegue bypassar a autenticação.

How to mitigate

Use prepared statements ou parameterized queries (bind variables), que separam dados de código. Valide e sanitize todas as entradas contra regras rígidas de whitelist, e aplique o princípio do menor privilégio nas contas de banco de dados e processos.

CVE-2025-4122MEDIUMNetgear JWNR2000v2 sub_435E04 command injectionEPSS 2.7%CVE-2026-116505CRITICALTOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injectionEPSS 2.7%CVE-2025-1448MEDIUMSynway SMG Gateway Management Software 9-12ping.php command injectionEPSS 2.7%CVE-2026-19346HIGHTenda CH22 CertListInfo formCertListInfo command injectionEPSS 2.7%CVE-2025-9935MEDIUMTOTOLINK N600R cstecgi.cgi sub_4159F8 command injectionEPSS 2.7%CVE-2026-7067MEDIUMD-Link DIR-822 udhcpd DHCP Service dhcpd.c system command injectionEPSS 2.7%CVE-2024-49380HIGHPlenti arbitrary file write vulnerabilityEPSS 2.7%CVE-2025-5139MEDIUMQualitor Office 365-type Connection testaConexaoOffice365.php command injectionEPSS 2.7%CVE-2025-6095MEDIUMcodesiddhant Jasmin Ransomware checklogin.php sql injectionEPSS 2.7%CVE-2025-5492MEDIUMD-Link DI-500WF-WT /usr/sbin/jhttpd msp_info.htm sub_456DE8 command injectionEPSS 2.7%CVE-2026-0641MEDIUMTOTOLINK WA300 cstecgi.cgi sub_401510 command injectionEPSS 2.6%CVE-2021-43818HIGHHTML Cleaner allows crafted and SVG embedded scripts to pass throughEPSS 2.6%CVE-2026-1150MEDIUMTotolink LR350 POST Request cstecgi.cgi setTracerouteCfg command injectionEPSS 2.6%CVE-2026-19092CRITICALTutor LMS < 4.0.6 - Unauthenticated Arbitrary Zero-Argument Function Invocation via Template Variable ShadowingEPSS 2.6%CVE-2025-14188HIGHUGREEN DH2100+ nas_svr create handler_file_backup_create command injectionEPSS 2.6%CVE-2022-40145CRITICALApache Karaf: JDBC JAAS LDAP injectionEPSS 2.6%CVE-2026-5562MEDIUMprovectus kafka-ui Endpoint testexecutions validateAccess code injectionEPSS 2.6%CVE-2026-122051CRITICALEdimax BR-6208AC mp command injectionEPSS 2.6%CVE-2025-8518MEDIUMgivanz Vvveb Code Editor code.php save code injectionEPSS 2.6%CVE-2026-5020MEDIUMTotolink A3600R Parameter cstecgi.cgi setNoticeCfg command injectionEPSS 2.6%