Fallos del tipo CWE-74

5048 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2024-39785CRITICALMultiple command execution vulnerabilities exist in the nas.cgi add_dir() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crEPSS 6.4%CVE-2025-10634MEDIUMD-Link DIR-823X Environment Variable goahead sub_412E7C command injectionEPSS 6.3%CVE-2026-4207MEDIUMD-Link DNS-1550-04 system_mgr.cgi cgi_ntp_time command injectionEPSS 6.3%CVE-2025-9603MEDIUMTelesquare TLR-2005KSH internet.cgi command injectionEPSS 6.2%CVE-2025-13562MEDIUMD-Link DIR-852 gena.cgi command injectionEPSS 6.2%CVE-2025-0528HIGHTenda AC8/AC10/AC18 HTTP Request telnet command injectionEPSS 6.2%CVE-2025-7836MEDIUMD-Link DIR-816L Environment Variable cgibin lxmldbc_system command injectionEPSS 6.2%CVE-2020-8468HIGHTrend Micro Apex One (2019), OfficeScan XG and Worry-Free Business Security (9.0, 9.5, 10.0) agents are affected by a content validation escEPSS 6.2%KEVCVE-2025-4445MEDIUMD-Link DIR-605L wake_on_lan command injectionEPSS 6.0%CVE-2025-7932MEDIUMD-Link DIR‑817L ssdpcgi lxmldbc_system command injectionEPSS 5.9%CVE-2026-4543MEDIUMWavlink WL-WN578W2 POST Request firewall.cgi command injectionEPSS 5.6%CVE-2023-29007HIGHArbitrary configuration injection via `git submodule deinit`EPSS 5.6%CVE-2025-10325MEDIUMWavlink WL-WN578W2 login.cgi sub_401BA4 command injectionEPSS 5.6%CVE-2026-3704MEDIUMWavlink NU516U1 Incomplete Fix CVE-2025-10959 firewall.cgi sub_405B2C command injectionEPSS 5.6%CVE-2026-10061MEDIUMTRENDnet TEW-432BRP formWPS command injectionEPSS 5.5%CVE-2026-10060MEDIUMTRENDnet TEW-432BRP formSetRoute command injectionEPSS 5.5%CVE-2026-1066MEDIUMkalcaddle kodbox Compression zip command injectionEPSS 5.5%CVE-2025-1800MEDIUMD-Link DAR-7000 HTTP POST Request sxh_vpnlic.php get_ip_addr_details command injectionEPSS 5.5%CVE-2026-7690MEDIUMWavlink WL-WN570HA1 adm.cgi set_sys_adm command injectionEPSS 5.5%CVE-2022-25167—Apache Flume vulnerable to a JNDI RCE in JMSSourceEPSS 5.4%