Fallos del tipo CWE-74

4734 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2022-25167—Apache Flume vulnerable to a JNDI RCE in JMSSourceEPSS 5.1%CVE-2025-9583MEDIUMComfast CF-N1 webmgnt ping_config command injectionEPSS 5.1%CVE-2025-9585MEDIUMComfast CF-N1 webmgnt wifilith_delete_pic_file command injectionEPSS 5.1%CVE-2025-12916MEDIUMSangfor Operation and Maintenance Security Management System Frontend portal_login command injectionEPSS 5.1%CVE-2026-10060MEDIUMTRENDnet TEW-432BRP formSetRoute command injectionEPSS 5.0%CVE-2026-10061MEDIUMTRENDnet TEW-432BRP formWPS command injectionEPSS 5.0%CVE-2021-43837HIGHTemplate injection in vault-cliEPSS 5.0%CVE-2025-7932MEDIUMD-Link DIR‑817L ssdpcgi lxmldbc_system command injectionEPSS 5.0%CVE-2026-7690MEDIUMWavlink WL-WN570HA1 adm.cgi set_sys_adm command injectionEPSS 5.0%CVE-2026-1414MEDIUMSangfor Operation and Maintenance Security Management System HTTP POST Request get_Information getInformation command injectionEPSS 4.9%CVE-2026-3704MEDIUMWavlink NU516U1 Incomplete Fix CVE-2025-10959 firewall.cgi sub_405B2C command injectionEPSS 4.9%CVE-2025-4340MEDIUMD-Link DIR-890L/DIR-806A1 soap.cgi sub_175C8 command injectionEPSS 4.9%CVE-2020-26282CRITICALTemplate Injection in BrowserUp ProxyEPSS 4.8%CVE-2026-5338MEDIUMTenda G103 Setting system.lua action_set_system_settings command injectionEPSS 4.8%CVE-2025-5126HIGHTeledyne FLIR AX8 settingsregional.php setDataTime command injectionEPSS 4.7%CVE-2025-10123MEDIUMD-Link DIR-823X set_static_leases sub_415028 command injectionEPSS 4.7%CVE-2025-5763MEDIUMTenda CP3 apollo sub_F3C8C command injectionEPSS 4.7%CVE-2025-11335MEDIUMD-Link DI-7100G C1 jhttpd msp_info.htm sub_46409C command injectionEPSS 4.6%CVE-2020-15238HIGHLocal privilege escalation BluemanEPSS 4.6%CVE-2026-1063MEDIUMbastillion-io Bastillion Public Key Management System AuthKeysKtrl.java command injectionEPSS 4.6%