Weaknesses of type CWE-74

4,849 results

Injeção de código

É quando uma aplicação incorpora dados não validados em um comando ou consulta que será interpretado como código. O atacante consegue injetar instruções maliciosas que são executadas com os privilégios da aplicação, como SQL, shell ou XML.

Example

Um formulário de login que monta uma query SQL concatenando diretamente a entrada do usuário: `SELECT * FROM usuarios WHERE email = '` + email_usuario + `'`. Um atacante digita `' OR '1'='1` e consegue bypassar a autenticação.

How to mitigate

Use prepared statements ou parameterized queries (bind variables), que separam dados de código. Valide e sanitize todas as entradas contra regras rígidas de whitelist, e aplique o princípio do menor privilégio nas contas de banco de dados e processos.

CVE-2026-105329MEDIUMTallCMS PluginManager ThemeManager.php code injectionEPSS —CVE-2026-82989CRITICALCVE-2026-82989EPSS —CVE-2026-105800LOWi18next-http-backend incomplete URL validation permits SSRFEPSS —CVE-2026-105918MEDIUMKusalkasilva Learning-Management-System Login Endpoint login.php mysql_error sql injectionEPSS —CVE-2026-105385MEDIUMonetwothreeneth HospitalManagementSystem transaction_details.php sql injectionEPSS —CVE-2026-105921MEDIUMKusalkasilva Learning-Management-System search_class.php sql injectionEPSS —CVE-2026-105468MEDIUMgirishsaraf Online-Appointment-Booking-System Login mlogin.php mysqli_query sql injectionEPSS —CVE-2026-105472MEDIUMgirishsaraf Online-Appointment-Booking-System Booking book.php sql injectionEPSS —CVE-2026-105471MEDIUMgirishsaraf Online-Appointment-Booking-System Registration signup.php sql injectionEPSS —