Fallos del tipo CWE-74

5079 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2023-29514CRITICALCode injection in template provider administration in xwiki-platformEPSS 1.9%CVE-2023-29510CRITICALCode injection via unescaped translations in xwiki-platformEPSS 1.9%CVE-2021-29454HIGHSandbox Escape by math function in smartyEPSS 1.9%CVE-2026-11452MEDIUMGL.iNet GL-MT3000 SET_USER_PWD glc FUN_0042e200 command injectionEPSS 1.8%CVE-2023-32679HIGHRemote Code Execution via unrestricted file extension in Craft CMSEPSS 1.8%CVE-2022-31777MEDIUMApache Spark XSS vulnerability in log viewer UI JavascriptEPSS 1.8%CVE-2021-39187HIGHCrash server with query parameterEPSS 1.8%CVE-2026-19022MEDIUMOpenHands send_pull_request.py initialize_repo command injectionEPSS 1.8%CVE-2026-75984MEDIUMTRENDnet TEW-823DRU admin.cgi command injectionEPSS 1.8%CVE-2026-76583MEDIUMTRENDnet TV-IP751WIC alphapd set_time.cgi command injectionEPSS 1.8%CVE-2026-76591MEDIUMTRENDnet TEW-755AP ssi email.cgi log_email_server command injectionEPSS 1.8%CVE-2026-19268MEDIUMabdullah1854 MCPGateway Claude Usage Range Endpoint claude-usage.ts getUsageByDateRange command injectionEPSS 1.8%CVE-2026-75011MEDIUMkylecui NetForensicMCP index.js execAsync command injectionEPSS 1.8%CVE-2026-82597MEDIUMTOTOLINK NR1800X cstecgi.cgi setUssd command injectionEPSS 1.8%CVE-2026-75985MEDIUMTRENDnet Router ping.cgi command injectionEPSS 1.8%CVE-2021-38458CRITICALMoxa MXview Network Management SoftwareEPSS 1.8%CVE-2025-14485LOWEFM ipTIME A3004T Administrator Password timepro.cgi show_debug_screen command injectionEPSS 1.8%CVE-2024-36420HIGHGHSL-2023-232: Flowise Path Injection at /api/v1/openai-assistants-fileEPSS 1.8%CVE-2026-77945MEDIUMTRENDnet TEW-821DAP ssi upload.cgi command injectionEPSS 1.8%CVE-2026-77004MEDIUMComfast CF-N1-S mbox-config sprintf command injectionEPSS 1.8%