Fallos del tipo CWE-707

262 resultados

Neutralização inadequada de entrada

Fraqueza genérica onde o software falha em remover ou neutralizar caracteres, sequências ou padrões perigosos antes de usar dados de entrada em contextos sensíveis (SQL, HTML, comandos do sistema). O risco é que um atacante injete código malicioso através desses dados não filtrados.

Ejemplo

Um formulário web que concatena diretamente a entrada do usuário em uma query SQL sem escapar aspas ou semicolons; um atacante envia `'; DROP TABLE users; --` e consegue deletar dados. Ou um campo de nome que aceita `<script>` e executa JavaScript no navegador de outros usuários.

Cómo mitigar

Use parametrização (prepared statements) para SQL, escape apropriado para cada contexto (HTML, URL, JS), validação de entrada com whitelist e bibliotecas especializadas (como ESAPI). Nunca concatene dados brutos em comandos ou markup.

CVE-2024-10844MEDIUM1000 Projects Bookstore Management System search.php sql injectionEPSS 0.9%CVE-2022-3704LOWRuby on Rails _table.html.erb cross site scriptingEPSS 0.9%CVE-2022-4566MEDIUMy_project RuoYi GenController sql injectionEPSS 0.9%CVE-2022-3583HIGHSourceCodester Canteen Management System login.php sql injectionEPSS 0.9%CVE-2022-4322MEDIUMmaku-boot Scheduled Task AbstractScheduleJob.java doExecute injectionEPSS 0.9%CVE-2022-4300MEDIUMFastCMS Template edit injectionEPSS 0.8%CVE-2022-3584MEDIUMSourceCodester Canteen Management System edituser.php sql injectionEPSS 0.8%CVE-2022-3579MEDIUMSourceCodester Cashier Queuing System Login Page login.php sql injectionEPSS 0.8%CVE-2022-3789MEDIUMTim Campus Confession Wall share.php sql injectionEPSS 0.8%CVE-2022-3783LOWnode-red-dashboard ui_text Format ui-component-ctrl.js cross site scriptingEPSS 0.8%CVE-2022-3878HIGHMaxon ERP browse_data sql injectionEPSS 0.8%CVE-2022-4728LOWGraphite Web Cookie cross site scriptingEPSS 0.8%CVE-2022-4730LOWGraphite Web Absolute Time Range cross site scriptingEPSS 0.8%CVE-2022-3495HIGHSourceCodester Simple Online Public Access Catalog Admin Login sql injectionEPSS 0.8%CVE-2022-3947MEDIUMeolinker goku_lite list sql injectionEPSS 0.8%CVE-2022-4729LOWGraphite Web Template Name cross site scriptingEPSS 0.8%CVE-2022-3799MEDIUMIBAX go-ibax tablesInfo sql injectionEPSS 0.8%CVE-2022-3948MEDIUMeolinker goku_lite getList sql injectionEPSS 0.8%CVE-2022-4399MEDIUMTicklishHoneyBee nodau db.c sql injectionEPSS 0.8%CVE-2022-3804MEDIUMeolinker apinto-dashboard login cross site scriptingEPSS 0.8%