Fallos del tipo CWE-74

5071 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2025-9934MEDIUMTOTOLINK X5000R cstecgi.cgi sub_410C34 command injectionEPSS 3.4%CVE-2025-14208MEDIUMD-Link DIR-823X set_wan_settings sub_415028 command injectionEPSS 3.4%CVE-2025-7415MEDIUMTenda O3V2 httpd getTraceroute fromTraceroutGet command injectionEPSS 3.4%CVE-2026-5153MEDIUMTenda CH22 WriteFacMac FormWriteFacMac command injectionEPSS 3.4%CVE-2023-51664HIGHtj-actions/changed-files command injection in output filenamesEPSS 3.4%CVE-2026-7102MEDIUMTenda F456 httpd WriteFacMac FromWriteFacMac command injectionEPSS 3.3%CVE-2026-3484MEDIUMPhialsBasement nmap-mcp-server Nmap CLI index.ts child_process.exec command injectionEPSS 3.3%CVE-2026-7160HIGHTenda HG3 formTracert command injectionEPSS 3.3%CVE-2026-82971CRITICALQVidium Opera11 CGI Script net_tr.cgi command injectionEPSS 3.3%CVE-2026-12197HIGHRuijie EG105G-P JSON-RPC Diagnose Endpoint diagnose nslookup command injectionEPSS 3.2%CVE-2026-83524CRITICALRedPort Optimizer wXa-223 System Clock datetime.php exec command injectionEPSS 3.2%CVE-2026-18598HIGHGL.iNet GL-MT3000 Logread Lua RPC plugin logread logread.get_system_log command injectionEPSS 3.2%CVE-2026-18600HIGHGL.iNet GL-MT3000 Network Lua RPC Plugin network network.switch_status command injectionEPSS 3.2%CVE-2026-18787HIGHGL.iNet AX1800 RPC Endpoint oui-rpc.lua remove_rule command injectionEPSS 3.2%CVE-2026-83772CRITICALCobham SATCOM VSAT7090 Maritime Satellite Router JSON Parsing mail-report.sh c_set_reports_decode command injectionEPSS 3.2%CVE-2026-1687MEDIUMTenda HG10 Boa Webserver formSamba command injectionEPSS 3.2%CVE-2026-2533MEDIUMTosei Self-service Washing Machine tosei_datasend.php command injectionEPSS 3.2%CVE-2026-6989MEDIUMTenda F453 Telnet Service telnet TendaTelnet command injectionEPSS 3.2%CVE-2025-6775MEDIUMxiaoyunjie openvpn-cms-flask User Creation Endpoint openvpn.py create_user command injectionEPSS 3.2%CVE-2026-7833HIGHEFM ipTIME C200 ApplyRestore Endpoint iux_set.cgi sub_408F90 command injectionEPSS 3.2%