Fallos del tipo CWE-89

12.829 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2022-41773HIGHDelta Electronics DIAEnergieEPSS 7.9%CVE-2025-59922MEDIUMAn improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet ForEPSS 7.8%CVE-2026-26988CRITICALLibreNMS: SQL Injection in ajax_table.php spreads through a covert data streamEPSS 7.7%CVE-2026-1367HIGHSQL InjectionEPSS 7.7%CVE-2022-40967HIGHDelta Electronics DIAEnergieEPSS 7.7%CVE-2022-43452HIGHDelta Electronics DIAEnergie SQL InjectionEPSS 7.7%CVE-2022-1013—Personal Dictionary < 1.3.4 - Unauthenticated SQLiEPSS 7.7%CVE-2022-0949—WP Block and Stop Bad Bots < 6.930 - Unauthenticated SQLiEPSS 7.7%CVE-2022-0783—Multiple Shipping Address Woocommerce < 2.0 - Unauthenticated SQLiEPSS 7.6%CVE-2023-27167MEDIUMSuprema BioStar 2 v2.8.16 was discovered to contain a SQL injection vulnerability via the values parameter at /users/absence?search_month=1.EPSS 7.6%CVE-2021-24943—Registrations for the Events Calendar < 2.7.6 - Unauthenticated SQL InjectionEPSS 7.5%CVE-2026-42167HIGHmod_sql in ProFTPD before 1.3.9a allows remote attackers to execute arbitrary code via a username, in scenarios where there is logging of USEPSS 7.4%CVE-2024-36034HIGHSQL InjectionEPSS 7.4%CVE-2024-36035HIGHSQL InjectionEPSS 7.4%CVE-2023-37924—Apache Submarine: SQL injection from unauthorized loginEPSS 7.2%CVE-2024-26026HIGHBIG-IP Central Manager SQL InjectionEPSS 7.2%CVE-2022-24707HIGHSQL injection in anuko timetrackerEPSS 7.2%CVE-2022-1453CRITICALRSVPMaker <= 9.2.5 - Unauthenticated SQL InjectionEPSS 7.1%CVE-2024-21793HIGHBIG-IP Central Manager OData Injection VulnerabilityEPSS 7.1%CVE-2024-42417HIGHDelta Electronics DIAEnergie SQL InjectionEPSS 7.0%