Fallos del tipo CWE-74

5078 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2025-4122MEDIUMNetgear JWNR2000v2 sub_435E04 command injectionEPSS 2.7%CVE-2026-116505CRITICALTOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injectionEPSS 2.7%CVE-2025-1448MEDIUMSynway SMG Gateway Management Software 9-12ping.php command injectionEPSS 2.7%CVE-2026-19346HIGHTenda CH22 CertListInfo formCertListInfo command injectionEPSS 2.7%CVE-2025-9935MEDIUMTOTOLINK N600R cstecgi.cgi sub_4159F8 command injectionEPSS 2.7%CVE-2026-7067MEDIUMD-Link DIR-822 udhcpd DHCP Service dhcpd.c system command injectionEPSS 2.7%CVE-2024-49380HIGHPlenti arbitrary file write vulnerabilityEPSS 2.7%CVE-2025-5139MEDIUMQualitor Office 365-type Connection testaConexaoOffice365.php command injectionEPSS 2.7%CVE-2025-6095MEDIUMcodesiddhant Jasmin Ransomware checklogin.php sql injectionEPSS 2.7%CVE-2025-5492MEDIUMD-Link DI-500WF-WT /usr/sbin/jhttpd msp_info.htm sub_456DE8 command injectionEPSS 2.7%CVE-2026-0641MEDIUMTOTOLINK WA300 cstecgi.cgi sub_401510 command injectionEPSS 2.6%CVE-2021-43818HIGHHTML Cleaner allows crafted and SVG embedded scripts to pass throughEPSS 2.6%CVE-2026-1150MEDIUMTotolink LR350 POST Request cstecgi.cgi setTracerouteCfg command injectionEPSS 2.6%CVE-2026-19092CRITICALTutor LMS < 4.0.6 - Unauthenticated Arbitrary Zero-Argument Function Invocation via Template Variable ShadowingEPSS 2.6%CVE-2025-14188HIGHUGREEN DH2100+ nas_svr create handler_file_backup_create command injectionEPSS 2.6%CVE-2022-40145CRITICALApache Karaf: JDBC JAAS LDAP injectionEPSS 2.6%CVE-2026-5562MEDIUMprovectus kafka-ui Endpoint testexecutions validateAccess code injectionEPSS 2.6%CVE-2026-122051CRITICALEdimax BR-6208AC mp command injectionEPSS 2.6%CVE-2025-8518MEDIUMgivanz Vvveb Code Editor code.php save code injectionEPSS 2.6%CVE-2026-5020MEDIUMTotolink A3600R Parameter cstecgi.cgi setNoticeCfg command injectionEPSS 2.6%