Fallos del tipo CWE-74

5078 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2026-12809MEDIUMEdimax BR-6478AC V2 POST Request wiz_5in1_redirect command injectionEPSS 2.4%CVE-2026-12808MEDIUMEdimax BR-6478AC V2 POST Request stainfo command injectionEPSS 2.4%CVE-2026-12807MEDIUMEdimax BR-6478AC V2 POST Request setWAN command injectionEPSS 2.4%CVE-2026-12810MEDIUMEdimax BR-6478AC V2 POST Request mp command injectionEPSS 2.4%CVE-2026-101262CRITICALZiroom ZHOME A0101 set_online_client command injectionEPSS 2.4%CVE-2026-102794CRITICALZiroom ZHOME A0101 ping command injectionEPSS 2.4%CVE-2026-94095CRITICALNetcore NBR200V2 Traceroute Diagnostic Feature network_tools command injectionEPSS 2.4%CVE-2026-101263CRITICALZiroom ZHOME A0101 set_online_client command injectionEPSS 2.3%CVE-2026-101264CRITICALZiroom ZHOME A0101 set_passwd command injectionEPSS 2.3%CVE-2026-101008CRITICALaaPanel BaoTa File Merge files.py merge_split_file command injectionEPSS 2.3%CVE-2026-101260CRITICALZiroom ZHOME A0101 firstLogin command injectionEPSS 2.3%CVE-2026-101187CRITICALZiroom ZHOME A0101 USB Device Management API zrUsb.lua pop_usb_device command injectionEPSS 2.3%CVE-2026-90704MEDIUMD-Link DWR-M921 formDiskPartition system command injectionEPSS 2.3%CVE-2023-40035HIGHCraft CMS vulnerable to Remote Code Execution via validatePath bypassEPSS 2.3%CVE-2025-0328MEDIUMKaiYuanTong ECT Platform HTTP POST Request runCode.php command injectionEPSS 2.3%CVE-2023-41834—Apache Flink Stateful Functions allowed HTTP header injection due to Improper Neutralization of CRLF SequencesEPSS 2.3%CVE-2026-9297MEDIUMEdimax BR-6428NS POST Request formWlbasic command injectionEPSS 2.3%CVE-2026-9359MEDIUMEdimax EW-7438RPn POST Request formHwSet command injectionEPSS 2.3%CVE-2026-86295MEDIUMD-Link DIR-895L udhcpcd serverpacket.c sendACK command injectionEPSS 2.3%CVE-2022-31086MEDIUMIncorrect Regular Expressions in ldap-account-managerEPSS 2.3%