Fallos del tipo CWE-74

5070 resultados

Injeção de código ou comando

A aplicação constrói comandos ou queries dinâmicas concatenando entrada do usuário sem sanitização adequada, permitindo que um atacante injete código ou comandos maliciosos que serão executados com as permissões da aplicação. O risco é crítico porque o atacante passa a controlar a lógica de execução.

Ejemplo

Um login que monta a query SQL como `SELECT * FROM users WHERE email = '` + email_usuario + `'` permite que um atacante envie `admin@mail.com' OR '1'='1` e contorne autenticação. Ou um script que executa `system('ping ' + host_externo)` deixa aberto para injetar `; rm -rf /` e deletar arquivos.

Cómo mitigar

Use prepared statements (queries parametrizadas) para banco de dados, escape adequado para sistema operacional, e valide entrada contra um whitelist restrito. Nunca confie em concatenação de strings para montar comandos dinâmicos.

CVE-2025-15048MEDIUMTenda WH450 HTTP Request CheckTools command injectionEPSS 12.3%CVE-2025-14107HIGHZSPACE Q2C NAS HTTP POST Request status zfilev2_api.SafeStatus command injectionEPSS 12.2%CVE-2025-14106HIGHZSPACE Q2C NAS HTTP POST Request close zfilev2_api.CloseSafe command injectionEPSS 12.1%CVE-2026-0732MEDIUMD-Link DI-8200G upgrade_filter.asp command injectionEPSS 11.7%CVE-2023-4450MEDIUMjeecgboot JimuReport Template injectionEPSS 11.6%CVE-2025-15137HIGHTRENDnet TEW-800MB NTPSyncWithHost.cgi sub_F934  command injectionEPSS 11.4%CVE-2025-3987MEDIUMTOTOLINK N150RT formWsc command injectionEPSS 11.3%CVE-2025-2126MEDIUMJoomlaUX JUX Real Estate GET Parameter realties sql injectionEPSS 11.2%CVE-2025-14884HIGHD-Link DIR-605 Firmware Update Service command injectionEPSS 10.8%CVE-2025-15136HIGHTRENDnet TEW-800MB Management wizardset do_setWizard_asp command injectionEPSS 10.7%CVE-2026-2080HIGHUTT HiPER 810 formUser setSysAdm command injectionEPSS 10.7%CVE-2020-11060HIGHRemote Code Execution in GLPIEPSS 10.7%CVE-2026-2085HIGHD-Link DWR-M921 USSD Configuration Endpoint formUSSDSetup sub_419F20 command injectionEPSS 10.5%CVE-2025-14108HIGHZSPACE Q2C NAS HTTP POST Request open zfilev2_api.OpenSafe command injectionEPSS 10.5%CVE-2025-10628MEDIUMD-Link DIR-852 Web Management hedwig.cgi command injectionEPSS 10.1%CVE-2026-6279CRITICALAvada (Fusion) Builder <= 3.15.2 - Unauthenticated Remote Code Execution via PHP Function Injection via 'render_logics' Shortcode Attribute via Widget AJAX HandlerEPSS 9.9%CVE-2026-4537MEDIUMCudy TR1200 ipsec.lua action_ipsec_conn command injectionEPSS 9.8%CVE-2026-5184MEDIUMTRENDnet TEW-713RE setSysAdm command injectionEPSS 9.6%CVE-2026-2182HIGHUTT 进取 521G setSysAdm doSystem command injectionEPSS 9.6%CVE-2025-13800MEDIUMADSLR NBR1005GPEV2 send_order.cgi set_mesh_disconnect command injectionEPSS 9.5%