Weaknesses of type CWE-96

25 results

Injeção de código em arquivos estáticos salvos

Ocorre quando a aplicação salva código (templates, configurações, scripts) em arquivos estáticos sem sanitizar adequadamente dados de entrada do usuário. Um atacante consegue injetar diretivas maliciosas que serão interpretadas na próxima execução, contornando validações que só ocorrem em tempo de compilação ou de parsing inicial.

Example

Uma plataforma salva templates de email customizados em arquivos .tpl permitindo usuários editar nome da empresa. Se não escapar caracteres especiais, um atacante injeta `<?php system($_GET['cmd']); ?>` que fica gravado no arquivo e executa quando o template é processado, comprometendo o servidor.

How to mitigate

Valide e sanitize rigorosamente toda entrada antes de escrever em arquivos de código ou template. Use whitelist de caracteres permitidos, escape adequado conforme o contexto (HTML, código, SQL), e considere armazenar dados de usuário separado de código — nunca concatene entrada direta em estruturas de programa salvas em disco.

CVE-2022-3960MEDIUMHitachi Vantara Pentaho Business Analytics Server - Improper Neutralization of Directives in Statically Saved Code ('Static Code Injection') EPSS 0.5%CVE-2026-68489HIGHStatic Code Injection in Plesk extensions "Ruby" before 1.6.6 and "Node.js Toolkit" before 2.5.0 allows remote authenticated users to executEPSS 0.4%CVE-2025-7825MEDIUMSchema Plugin For Divi, Gutenberg & Shortcodes <= 4.3.2 - Authenticated (Contributor+) Object InstantiationEPSS 0.3%CVE-2024-13263MEDIUMOpigno group manager - Critical - Arbitrary PHP code execution - SA-CONTRIB-2024-027EPSS 0.3%CVE-2024-0788MEDIUMSUPERAntiSpyware Pro X v10.0.1260 - Kernel-level API parameters manipulationEPSS 0.2%