Weaknesses of type CWE-77

2,962 results

Injeção de comando por entrada não neutralizada

O software monta um comando (shell, sistema operacional ou aplicação) usando dados recebidos de fora (entrada do usuário, API, banco de dados) sem remover ou neutralizar caracteres especiais que alteram a semântica do comando. Isso permite que um atacante injete comandos arbitrários que serão executados com as permissões da aplicação.

Example

Um script PHP que executa ping com o IP fornecido pelo usuário: `system('ping ' . $_GET['ip'])`. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, porque o ponto-e-vírgula não foi escapado e o shell interpreta dois comandos sequenciais.

How to mitigate

Use APIs seguras que não envolvem interpretação de shell (ex: ProcessBuilder em Java, subprocess.run com shell=False em Python). Se imperativo usar shell, valide com whitelist rigorosa (apenas caracteres alfanuméricos/IPs válidos) e escape com funções específicas da linguagem (escapeshellarg em PHP, shlex.quote em Python).

CVE-2026-82678MEDIUMdiem-project diem Administrative Console actions.class.php executeCommand os command injectionEPSS 2.2%CVE-2026-90788MEDIUMmagicblack MacCMS10 Template .%40template%40default%40html%40label.html os command injectionEPSS 2.2%CVE-2026-90843MEDIUMSabyasachiRana WebMap New Nmap Scan functions_nmap.py nmap_newscan os command injectionEPSS 2.2%CVE-2026-82668MEDIUMklaussilveira GitList Git Command Line CommandLine.php getDefaultBranch os command injectionEPSS 2.2%CVE-2026-4497MEDIUMTotolink WA300 cstecgi.cgi recvUpgradeNewFw os command injectionEPSS 2.2%CVE-2026-13538MEDIUMWavlink WL-NU516U1-A POST Parameter wireless.cgi sub_401D68 command injectionEPSS 2.2%CVE-2026-6132CRITICALTotolink A7100RU CGI cstecgi.cgi setLedCfg os command injectionEPSS 2.2%CVE-2026-1601MEDIUMTotolink A7000R cstecgi.cgi setUploadUserData command injectionEPSS 2.2%CVE-2025-8937MEDIUMTOTOLINK N350R formSysCmd command injectionEPSS 2.2%CVE-2025-57285CRITICALcodeceptjs 3.7.3 contains a command injection vulnerability in the emptyFolder function (lib/utils.js). The execSync command directly concatEPSS 2.2%CVE-2026-5041MEDIUMcode-projects Chamber of Commerce Membership Management System pageMail.php fwrite command injectionEPSS 2.2%CVE-2026-5176MEDIUMTotolink A3300R cstecgi.cgi setSyslogCfg command injectionEPSS 2.2%CVE-2021-4304MEDIUMeprintsug ulcc-core toolbox command injectionEPSS 2.2%CVE-2025-14184MEDIUMSGAI Space1 NAS N1211DS gsaiagent JSONAPI NGNIX_UPLOAD command injectionEPSS 2.2%CVE-2026-108894CRITICALLinksys E1700 Static Route addStaticRoute os command injectionEPSS 2.2%CVE-2024-32292HIGHTenda W30E v1.0 V1.0.1.25(633) firmware contains a command injection vulnerablility in the formexeCommand function via the cmdinput parameteEPSS 2.2%CVE-2026-5463CRITICALpymetasploit3 - Command Injection via Newline Injection in console.run_module_with_output()EPSS 2.2%CVE-2026-38835CRITICALTenda W30E V2.0 V16.01.0.21 was found to contain a command injection vulnerability in the formSetUSBPartitionUmount function via the usbPartEPSS 2.1%CVE-2026-4164CRITICALWavlink WL-WN578W2 POST Request wireless.cgi GuestWifi command injectionEPSS 2.1%CVE-2023-29803CRITICALTOTOLINK X18 V9.1.0cu.2024_B20220329 was discovered to contain a command injection vulnerability via the pid parameter in the disconnectVPN EPSS 2.1%