Fallos del tipo CWE-74

5079 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2024-39906HIGHRemote code execution in Haven IndieAuthClient (GHSL-2024-093)EPSS 1.0%CVE-2026-11487MEDIUMNeovim View Branch secure.lua M.read command injectionEPSS 1.0%CVE-2025-5298MEDIUMCampcodes Online Hospital Management System betweendates-detailsreports.php sql injectionEPSS 1.0%CVE-2026-113397MEDIUMDrayTek Vigor2960 IPsec mainfunction.cgi ruequest_certificate command injectionEPSS 1.0%CVE-2020-26293MEDIUMPossible XSS bypass if style tag is allowedEPSS 1.0%CVE-2026-7718MEDIUMTotolink WA300 POST Request cstecgi.cgi setWebWlanIdx command injectionEPSS 1.0%CVE-2026-7721MEDIUMTotolink WA300 cstecgi.cgi NTPSyncWithHost command injectionEPSS 1.0%CVE-2026-7720MEDIUMTotolink WA300 POST Request cstecgi.cgi setLanguageCfg command injectionEPSS 1.0%CVE-2020-36618MEDIUMFurqan node-whois index.coffee prototype pollutionEPSS 1.0%CVE-2022-29166HIGHImproper handling of multiline messages in matrix-appservice-ircEPSS 1.0%CVE-2025-4466MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 1.0%CVE-2025-4463MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 1.0%CVE-2025-4464MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 1.0%CVE-2025-4457MEDIUMProject Worlds Car Rental Project approve.php sql injectionEPSS 1.0%CVE-2025-4456MEDIUMProject Worlds Car Rental Project signup.php sql injectionEPSS 1.0%CVE-2025-4465MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 1.0%CVE-2024-47180HIGHShields.io Remote Code Execution vulnerability in Dynamic JSON/TOML/YAML badgesEPSS 1.0%CVE-2025-24364HIGHvaultwarden allows RCE in the admin panelEPSS 1.0%CVE-2024-12484MEDIUMCodezips Technical Discussion Forum signuppost.php sql injectionEPSS 1.0%CVE-2026-18613CRITICALGL-iNet GL-MT3000 plugins.so Native Plugin glc plugins.set_config injectionEPSS 1.0%