Weaknesses of type CWE-74

5,078 results

Injeção de código

É quando uma aplicação incorpora dados não validados em um comando ou consulta que será interpretado como código. O atacante consegue injetar instruções maliciosas que são executadas com os privilégios da aplicação, como SQL, shell ou XML.

Example

Um formulário de login que monta uma query SQL concatenando diretamente a entrada do usuário: `SELECT * FROM usuarios WHERE email = '` + email_usuario + `'`. Um atacante digita `' OR '1'='1` e consegue bypassar a autenticação.

How to mitigate

Use prepared statements ou parameterized queries (bind variables), que separam dados de código. Valide e sanitize todas as entradas contra regras rígidas de whitelist, e aplique o princípio do menor privilégio nas contas de banco de dados e processos.

CVE-2025-15048MEDIUMTenda WH450 HTTP Request CheckTools command injectionEPSS 12.3%CVE-2025-14107HIGHZSPACE Q2C NAS HTTP POST Request status zfilev2_api.SafeStatus command injectionEPSS 12.2%CVE-2025-14106HIGHZSPACE Q2C NAS HTTP POST Request close zfilev2_api.CloseSafe command injectionEPSS 12.1%CVE-2026-0732MEDIUMD-Link DI-8200G upgrade_filter.asp command injectionEPSS 11.7%CVE-2023-4450MEDIUMjeecgboot JimuReport Template injectionEPSS 11.6%CVE-2025-15137HIGHTRENDnet TEW-800MB NTPSyncWithHost.cgi sub_F934  command injectionEPSS 11.4%CVE-2025-3987MEDIUMTOTOLINK N150RT formWsc command injectionEPSS 11.3%CVE-2025-2126MEDIUMJoomlaUX JUX Real Estate GET Parameter realties sql injectionEPSS 11.2%CVE-2025-14884HIGHD-Link DIR-605 Firmware Update Service command injectionEPSS 10.8%CVE-2025-15136HIGHTRENDnet TEW-800MB Management wizardset do_setWizard_asp command injectionEPSS 10.7%CVE-2026-2080HIGHUTT HiPER 810 formUser setSysAdm command injectionEPSS 10.7%CVE-2020-11060HIGHRemote Code Execution in GLPIEPSS 10.7%CVE-2026-2085HIGHD-Link DWR-M921 USSD Configuration Endpoint formUSSDSetup sub_419F20 command injectionEPSS 10.5%CVE-2025-14108HIGHZSPACE Q2C NAS HTTP POST Request open zfilev2_api.OpenSafe command injectionEPSS 10.5%CVE-2025-10628MEDIUMD-Link DIR-852 Web Management hedwig.cgi command injectionEPSS 10.1%CVE-2026-6279CRITICALAvada (Fusion) Builder <= 3.15.2 - Unauthenticated Remote Code Execution via PHP Function Injection via 'render_logics' Shortcode Attribute via Widget AJAX HandlerEPSS 9.9%CVE-2026-4537MEDIUMCudy TR1200 ipsec.lua action_ipsec_conn command injectionEPSS 9.8%CVE-2026-5184MEDIUMTRENDnet TEW-713RE setSysAdm command injectionEPSS 9.6%CVE-2026-2182HIGHUTT 进取 521G setSysAdm doSystem command injectionEPSS 9.6%CVE-2025-13799MEDIUMADSLR NBR1005GPEV2 send_order.cgi ap_macfilter_del command injectionEPSS 9.5%