Fallos del tipo CWE-89

13.180 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2026-34100HIGHGuardian Language-System SQL Injection via id Parameter in media.phpEPSS 0.5%CVE-2024-40540MEDIUMmy-springsecurity-plus before v2024.07.03 was discovered to contain a SQL injection vulnerability via the dataScope parameter at /api/dept.EPSS 0.5%CVE-2026-52691HIGHApache Griffin Hive Metastore Module: SQL Injection Vulnerability in Hive Metastore ModuleEPSS 0.5%CVE-2026-1124MEDIUMYonyou KSOA HTTP GET Parameter work_report.jsp sql injectionEPSS 0.5%CVE-2025-15420MEDIUMYonyou KSOA agent_work_report.jsp sql injectionEPSS 0.5%CVE-2023-49968HIGHCustomer Support System v1 was discovered to contain a SQL injection vulnerability via the id parameter at /customer_support/manage_departmeEPSS 0.5%CVE-2024-48597HIGHOnline Clinic Management System v1.0 was discovered to contain a SQL injection vulnerability via the id parameter at /success/editp.php?actiEPSS 0.5%CVE-2025-41018CRITICALSQL injection vulnerability in Sergestec's ExitoEPSS 0.5%CVE-2025-12287MEDIUMBdtask Wholesale Inventory Control and Inventory Management System edit_profile sql injectionEPSS 0.5%CVE-2021-47782HIGHOdine Solutions GateKeeper 1.0 - 'trafficCycle' SQL InjectionEPSS 0.5%CVE-2026-41143HIGHYesWiki vulnerable to authenticated SQL Injection via id_fiche in EntryManager::formatDataBeforeSave()EPSS 0.5%CVE-2025-7918CRITICALSimopro Technology｜WinMatrix3 Web package - SQL InjectionEPSS 0.5%CVE-2026-34105HIGHGuardian Language-System SQL Injection via id Parameter in translate_text.phpEPSS 0.5%CVE-2025-15424MEDIUMYonyou KSOA HTTP GET Parameter agent_worksdel.jsp sql injectionEPSS 0.5%CVE-2026-61518HIGHISPConfig Authenticated SQL Injection via Remote API primary_id ParameterEPSS 0.5%CVE-2026-34103HIGHGuardian Language-System SQL Injection via id Parameter in subtitles.phpEPSS 0.5%CVE-2024-3720MEDIUMTianwell Fire Intelligent Command Platform API Interface page sql injectionEPSS 0.5%CVE-2025-15421MEDIUMYonyou KSOA HTTP GET Parameter agent_worksadd.jsp sql injectionEPSS 0.5%CVE-2025-57423MEDIUMA SQL injection vulnerability was discovered in the /articles endpoint of MyClub 0.5, affecting the query parameters Content, GroupName, PerEPSS 0.5%CVE-2026-34104HIGHGuardian Language-System SQL Injection via name Parameter in designer.phpEPSS 0.5%