Fallos del tipo CWE-74

4734 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2022-4170CRITICALThe rxvt-unicode package is vulnerable to a remote code execution, in the Perl background extension, when an attacker can control the data wEPSS 2.1%CVE-2025-8937MEDIUMTOTOLINK N350R formSysCmd command injectionEPSS 2.1%CVE-2026-19263MEDIUMINQUIRELAB mcp-bridge-api Servers Endpoint mcp-bridge.js command injectionEPSS 2.1%CVE-2024-36522CRITICALApache Wicket: Remote code execution via XSLT injectionEPSS 2.1%CVE-2026-4537MEDIUMCudy TR1200 ipsec.lua action_ipsec_conn command injectionEPSS 2.1%CVE-2026-5041MEDIUMcode-projects Chamber of Commerce Membership Management System pageMail.php fwrite command injectionEPSS 2.1%CVE-2026-19041MEDIUMMissionSquad mcp-api NPM Package Version packages.ts this.packageService.installPackage command injectionEPSS 2.1%CVE-2023-51653CRITICALHertzbeat JMX JNDI RCEEPSS 2.1%CVE-2026-79912MEDIUMTOTOLINK N600R cstecgi.cgi getCurrentTime command injectionEPSS 2.1%CVE-2026-1638MEDIUMTenda AC21 mDMZSetCfg command injectionEPSS 2.1%CVE-2026-93371MEDIUMmarcopiovanello yt-dlp-web-ui generic.go NewGenericDownload command injectionEPSS 2.1%CVE-2022-23616HIGHRemote code execution in xwiki-platformEPSS 2.1%CVE-2026-33475CRITICALLangflow GitHub Actions Shell InjectionEPSS 2.1%CVE-2021-32650HIGHArbitrary code execution in october/systemEPSS 2.1%CVE-2021-36313CRITICALDell EMC CloudLink 7.1 and all prior versions contain an OS command injection Vulnerability. A remote high privileged attacker, may potentiaEPSS 2.1%CVE-2026-7157MEDIUMdisler aider-mcp-server aider_ai_code server.py command injectionEPSS 2.1%CVE-2026-7211MEDIUMdvladimirov MCP Git Search API mcp_server.py GitSearchRequest command injectionEPSS 2.1%CVE-2026-9453MEDIUMFoundDream miniclawd SkillsLoader skills-loader.ts which command injectionEPSS 2.1%CVE-2026-7215MEDIUMegtai gmx-vmd-mcp VMD Launch mcp_server.py launch_vmd_gui_tool command injectionEPSS 2.1%CVE-2026-7058MEDIUM666ghj MiroFish Inter-Process Communication simulation_ipc.py SimulationIPCClient.send_command command injectionEPSS 2.1%