Fallos del tipo CWE-74

5078 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2025-5836MEDIUMTenda AC9 POST Request SetIPTVCfg formSetIptv command injectionEPSS 2.9%CVE-2025-4121MEDIUMNetgear JWNR2000v2 cmd_wireless command injectionEPSS 2.9%CVE-2023-26493HIGHCommand Injection in Cocos Engine workflowEPSS 2.9%CVE-2026-77683CRITICALComfast CF-N1-S mbox-config system command injectionEPSS 2.9%CVE-2026-15481HIGHTrendnet TEW-635BRM IPoA WAN Connection Setup rc ipoa_test command injectionEPSS 2.9%CVE-2026-1327MEDIUMTotolink NR1800X POST Request cstecgi.cgi setTracerouteCfg command injectionEPSS 2.9%CVE-2026-19976MEDIUMCOMFAST CF-N1-S mbox-config sub_44A968 command injectionEPSS 2.9%CVE-2021-32647HIGHPost-authentication Remote Code Execution (RCE) in emissary:emissaryEPSS 2.9%CVE-2021-21277HIGHAngular Expressions - Remote Code ExecutionEPSS 2.8%CVE-2025-7524MEDIUMTOTOLINK T6 HTTP POST Request cstecgi.cgi setDiagnosisCfg command injectionEPSS 2.8%CVE-2025-7525MEDIUMTOTOLINK T6 HTTP POST Request cstecgi.cgi setTracerouteCfg command injectionEPSS 2.8%CVE-2024-37759CRITICALDataGear v5.0.0 and earlier was discovered to contain a SpEL (Spring Expression Language) expression injection vulnerability via the Data ViEPSS 2.8%CVE-2025-3249MEDIUMTOTOLINK A6000R mtkwifi.lua apcli_cancel_wps command injectionEPSS 2.8%CVE-2023-37897HIGHServer-side Template Injection (SSTI) in gravEPSS 2.8%CVE-2026-6980MEDIUMDivyanshu-hash GitPilot-MCP main.py repo_path command injectionEPSS 2.8%CVE-2026-5104MEDIUMTotolink A3300R cstecgi.cgi setStaticRoute command injectionEPSS 2.8%CVE-2026-77031MEDIUMTenda CH22 formcreateFileName command injectionEPSS 2.7%CVE-2026-78063MEDIUMTenda CH22 editFileName formeditFileName command injectionEPSS 2.7%CVE-2026-78141MEDIUMTenda CH22 exeCommand formexeCommand command injectionEPSS 2.7%CVE-2026-5177MEDIUMTotolink A3300R cstecgi.cgi setWiFiBasicCfg command injectionEPSS 2.7%