Weaknesses of type CWE-77

2,809 results

Injeção de comando por entrada não neutralizada

O software monta um comando (shell, sistema operacional ou aplicação) usando dados recebidos de fora (entrada do usuário, API, banco de dados) sem remover ou neutralizar caracteres especiais que alteram a semântica do comando. Isso permite que um atacante injete comandos arbitrários que serão executados com as permissões da aplicação.

Example

Um script PHP que executa ping com o IP fornecido pelo usuário: `system('ping ' . $_GET['ip'])`. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, porque o ponto-e-vírgula não foi escapado e o shell interpreta dois comandos sequenciais.

How to mitigate

Use APIs seguras que não envolvem interpretação de shell (ex: ProcessBuilder em Java, subprocess.run com shell=False em Python). Se imperativo usar shell, valide com whitelist rigorosa (apenas caracteres alfanuméricos/IPs válidos) e escape com funções específicas da linguagem (escapeshellarg em PHP, shlex.quote em Python).

CVE-2026-5012MEDIUMelecV2 elecV2P rpc pm2run os command injectionEPSS 2.1%CVE-2026-9453MEDIUMFoundDream miniclawd SkillsLoader skills-loader.ts which command injectionEPSS 2.1%CVE-2026-7812MEDIUM54yyyu code-mcp MCP Tool server.py git_operation command injectionEPSS 2.1%CVE-2026-5691MEDIUMTotolink A7100RU cstecgi.cgi setFirewallType os command injectionEPSS 2.1%CVE-2026-7211MEDIUMdvladimirov MCP Git Search API mcp_server.py GitSearchRequest command injectionEPSS 2.1%CVE-2026-5692MEDIUMTotolink A7100RU cstecgi.cgi setGameSpeedCfg os command injectionEPSS 2.1%CVE-2026-7058MEDIUM666ghj MiroFish Inter-Process Communication simulation_ipc.py SimulationIPCClient.send_command command injectionEPSS 2.1%CVE-2026-5688MEDIUMTotolink A7100RU cstecgi.cgi setDdnsCfg os command injectionEPSS 2.1%CVE-2026-7066MEDIUMchoieastsea simple-openstack-mcp server.py exec_openstack os command injectionEPSS 2.1%CVE-2026-7316MEDIUMeiliyaabedini aider-mcp code_with_ai aider_mcp.py command injectionEPSS 2.1%CVE-2026-7593MEDIUMSunwood-ai-labs command-executor-mcp-server MCP index.ts execute_command os command injectionEPSS 2.1%CVE-2026-5678MEDIUMTotolink A7100RU cstecgi.cgi setScheduleCfg os command injectionEPSS 2.1%CVE-2026-7157MEDIUMdisler aider-mcp-server aider_ai_code server.py command injectionEPSS 2.1%CVE-2026-7785MEDIUMA-G-U-P-T-A wireshark-mcp pyshark_mcp.py quick_capture os command injectionEPSS 2.1%CVE-2017-20156MEDIUMExciting Printer Argument prepare_page.rb command injectionEPSS 2.1%CVE-2023-27135CRITICALTOTOlink A7100RU V7.4cu.2313_B20191024 was discovered to contain a command injection vulnerability via the enabled parameter at /setting/setEPSS 2.0%CVE-2026-84059MEDIUMICP DAS UA-2200/UA-5200 CGI ArmAngstromInstructionSet command injectionEPSS 2.0%CVE-2026-11451MEDIUMGL.iNet GL-MT3000 FTP Protocol glc snprintf command injectionEPSS 2.0%CVE-2023-27229CRITICALTOTOlink A7100RU V7.4cu.2313_B20191024 was discovered to contain a command injection vulnerability via the upBw parameter at /setting/setWanEPSS 2.0%CVE-2023-27231CRITICALTOTOlink A7100RU V7.4cu.2313_B20191024 was discovered to contain a command injection vulnerability via the downBw parameter at /setting/setWEPSS 2.0%