Fallos del tipo CWE-89

12.961 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2024-9972CRITICALChanGate Property Management System - SQL InjectionEPSS 0.7%CVE-2023-25990HIGHWordPress Tutor LMS Plugin <= 2.1.10 is vulnerable to SQL InjectionEPSS 0.7%CVE-2023-34383HIGHWordPress WP Project Manager Plugin <= 2.6.0 is vulnerable to SQL InjectionEPSS 0.7%CVE-2020-36631MEDIUMbarronwaffles dwc_network_server_emulator gs_database.py update_profile sql injectionEPSS 0.7%CVE-2020-36630MEDIUMFreePBX cdr Cdr.class.php ajaxHandler sql injectionEPSS 0.7%CVE-2022-47984MEDIUMIBM InfoSphere Information Server SQL injectionEPSS 0.7%CVE-2024-11212MEDIUMSourceCodester Best Employee Management System fetch_product_details.php sql injectionEPSS 0.7%CVE-2023-36529CRITICALWordPress Houzez CRM Plugin <= 1.3.4 is vulnerable to SQL InjectionEPSS 0.7%CVE-2025-7173MEDIUMcode-projects Library System add-student.php sql injectionEPSS 0.7%CVE-2024-6743CRITICALAguardNet Space Management System - SQL injectionEPSS 0.7%CVE-2023-4673CRITICALSQLi in Sanalogy's TurasistanEPSS 0.7%CVE-2024-40614MEDIUMEGroupware before 23.1.20240624 mishandles an ORDER BY clause. This leads to json.php?menuaction=EGroupware\Api\Etemplate\Widget\Nextmatch::EPSS 0.7%CVE-2023-3839MEDIUMDedeBIZ sys_sql_query.php sql injectionEPSS 0.7%CVE-2024-9130HIGHGiveWP – Donation Plugin and Fundraising Platform <= 3.16.1 - Authenticated (GiveWP Manager+) SQL Injection via order ParameterEPSS 0.7%CVE-2024-8762MEDIUMcode-projects Crud Operation System updatedata.php sql injectionEPSS 0.7%CVE-2026-8705HIGHClearSale Total <= 3.4.2 - Unauthenticated SQL InjectionEPSS 0.7%CVE-2023-28777HIGHWordPress LearnDash LMS Plugin <= 4.5.3 is vulnerable to SQL InjectionEPSS 0.7%CVE-2015-10018MEDIUMDBRisinajumi d2files D2filesController.php actionDownloadFile sql injectionEPSS 0.7%CVE-2022-22338MEDIUMIBM Sterling B2B Integrator Standard Edition SQL injectionEPSS 0.7%CVE-2024-0941MEDIUMNovel-Plus list sql injectionEPSS 0.7%