Fallos del tipo CWE-89

12.845 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2024-32838CRITICALApache Fineract: SQL injection vulnerabilities in offices API endpointEPSS 1.5%CVE-2025-47954HIGHMicrosoft SQL Server Elevation of Privilege VulnerabilityEPSS 1.5%CVE-2023-35188HIGHSQL Injection Remote Code Execution VulnerabilityEPSS 1.5%CVE-2022-0478—Event Manager for WooCommerce < 3.5.8 - Contributor+ SQL InjectionEPSS 1.5%CVE-2021-24844—Affiliate Manager < 2.8.7 - Admin+ SQL injectionEPSS 1.5%CVE-2021-24511—Create WooCommerce Product Feeds For 40+ Merchants < 3.3.1.0 - Authenticated SQL InjectionEPSS 1.5%CVE-2020-12014—Advantech WebAccess Node, Version 8.4.4 and prior, Version 9.0.0. Input is not properly sanitized and may allow an attacker to inject SQL coEPSS 1.5%CVE-2026-21875CRITICALClipBucket v5 Vulnerable to Blind SQL Injection through Channel CommentsEPSS 1.5%CVE-2019-5150HIGHAn exploitable SQL injection vulnerability exist in YouPHPTube 7.7. When the "VideoTags" plugin is enabled, a specially crafted unauthenticaEPSS 1.5%CVE-2021-41148HIGHThe update of the CI job targeted by a widget is vulnerable to blind SQL injectionsEPSS 1.5%CVE-2021-41154HIGHSQL injection in the "SVN core" commits browserEPSS 1.5%CVE-2021-41155HIGHSQL injection in CVS revisions browserEPSS 1.5%CVE-2022-1683—amtyThumb <= 4.2.0 - Subscriber+ SQLiEPSS 1.5%CVE-2017-17919HIGHSQL injection vulnerability in the 'order' method in Ruby on Rails 5.1.4 and earlier allows remote attackers to execute arbitrary SQL commanEPSS 1.5%CVE-2025-13138HIGHWP Directory Kit <= 1.4.3 - Unauthenticated SQL Injection via select_2_ajax() FunctionEPSS 1.5%CVE-2022-0411—Asgaros Forum < 2.0.0 - Subscriber+ Blind SQL InjectionEPSS 1.5%CVE-2021-24398—Responsive 3D Slider <= 1.2 - Authenticated SQL InjectionEPSS 1.5%CVE-2021-24396—GSEOR <= 1.3 - Authenticated SQL InjectionEPSS 1.5%CVE-2021-24397—MicroCopy <= 1.1.0 - Authenticated SQL InjectionEPSS 1.5%CVE-2021-24625—SpiderCatalog <= 1.7.3 - Admin+ SQL InjectionEPSS 1.5%