Weaknesses of type CWE-97

7 results

Neutralização Inadequada de Server-Side Includes (SSI)

A aplicação web não valida ou sanitiza corretamente dados de entrada antes de processá-los como Server-Side Includes, permitindo que um atacante injete diretivas SSI maliciosas. Quando o servidor interpreta essas diretivas, ele executa comandos não autorizados, acessa arquivos sensíveis ou dispara processos arbitrários no servidor.

Example

Um formulário de comentários permite que um usuário injete '<!--#exec cmd="cat /etc/passwd" -->' no campo de texto. Se a aplicação reescreve o comentário em uma página HTML processada como SSI, o servidor executará o comando e expostos os dados do arquivo de senhas.

How to mitigate

Desabilite SSI no servidor web (padrão em muitos ambientes modernos) ou, se necessário, filtre rigorosamente entradas de usuário removendo ou escapando caracteres como '<', '>', '#' e aspas. Processe SSI apenas em arquivos estáticos confiáveis, nunca em conteúdo gerado por usuários.

CVE-2025-36558MEDIUMKUNBUS Revolution Pi Improper Neutralization of Server-Side Includes (SSI) Within a Web PageEPSS 18.1%CVE-2025-35996HIGHKUNBUS Revolution Pi Improper Neutralization of Server-Side Includes (SSI) Within a Web PageEPSS 15.2%CVE-2024-29686HIGHServer-side Template Injection (SSTI) vulnerability in Winter CMS v.1.2.3 allows a remote attacker to execute arbitrary code via a crafted pEPSS 1.8%CVE-2024-37621HIGHStrongShop v1.0 was discovered to contain a Server-Side Template Injection (SSTI) vulnerability via the component /shippingOptionConfig/indeEPSS 0.7%CVE-2023-53934HIGHKentico Xperience <= 12.0.98 GetResource Handler Denial of ServiceEPSS 0.4%CVE-2024-56363HIGHAPTRS has SSTI vulnerabilityEPSS 0.3%CVE-2025-21103HIGHDell NetWorker Management Console, version(s) 19.11 through 19.11.0.3 & Versions prior to 19.10.0.7 contain(s) an improper neutralization ofEPSS 0.2%