Fallos del tipo CWE-89

13.617 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2024-1254MEDIUMByzoro Smart S20 Management Platform sysmanageajax.php sql injectionEPSS 4.6%CVE-2020-27660CRITICALSQL injection vulnerability in request.cgi in Synology SafeAccess before 1.2.3-0234 allows remote attackers to execute arbitrary SQL commandEPSS 4.6%CVE-2024-32738HIGHCyberPower PowerPanel Enterprise SQL InjectionEPSS 4.6%CVE-2024-39911CRITICAL1Panel SQL injectionEPSS 4.5%CVE-2024-5467HIGHSQL InjectionEPSS 4.5%CVE-2024-5556HIGHSQL InjectionEPSS 4.5%CVE-2024-36515HIGHSQL InjectionEPSS 4.5%CVE-2023-37270HIGHPiwigo SQL Injection vulnerability in "User-Agent"EPSS 4.5%CVE-2026-26990HIGHLibreNMS has Time-Based Blind SQL Injection in address-search.inc.phpEPSS 4.5%CVE-2024-47062CRITICALMultiple SQL Injections and ORM Leak in navidromeEPSS 4.5%CVE-2024-9459HIGHSQL InjectionEPSS 4.5%CVE-2023-34752CRITICALbloofox v0.5.2.1 was discovered to contain a SQL injection vulnerability via the lid parameter at admin/index.php?mode=settings&page=lang&acEPSS 4.4%CVE-2024-36516HIGHSQL InjectionEPSS 4.4%CVE-2022-33965CRITICALWordPress WP Visitor Statistics plugin <= 5.7 - Multiple Unauthenticated SQL Injection (SQLi) vulnerabilitiesEPSS 4.4%CVE-2022-45808CRITICALWordPress LearnPress Plugin <= 4.1.7.3.2 is vulnerable to SQL InjectionEPSS 4.3%CVE-2020-5726—The Grandstream UCM6200 series before 1.0.20.22 is vulnerable to an SQL injection via the CTI server on port 8888. A remote unauthenticated EPSS 4.3%CVE-2024-7854CRITICALWoo Inquiry <= 0.1 - Unauthenticated SQL InjectionEPSS 4.3%CVE-2023-31702HIGHSQL injection in the View User Profile in MicroWorld eScan Management Console 14.0.1400.2281 allows remote attacker to dump entire database EPSS 4.3%CVE-2022-4093HIGH SQL Injection in dolibarr/dolibarrEPSS 4.3%CVE-2023-46748HIGHBIG-IP Configuration utility authenticated SQL injection vulnerabilityEPSS 4.3%KEV