Fallos del tipo CWE-89

11.951 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2025-39389CRITICALWordPress AnalyticsWP <= 2.1.2 - SQL Injection VulnerabilityEPSS 0.3%CVE-2026-45439CRITICALWordPress Realtyna Organic IDX plugin plugin <= 5.1.0 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-58439HIGHERP: Possibility of SQL injection due to missing validationEPSS 0.3%CVE-2025-12620MEDIUMPoll Maker – Versus Polls, Anonymous Polls, Image Polls <= 6.0.7 - Authenticated (Administrator+) SQL Injection via `filterbyauthor` ParameterEPSS 0.3%CVE-2026-32418HIGHWordPress Meow Gallery plugin <= 5.4.4 - SQL Injection vulnerabilityEPSS 0.3%CVE-2017-20195MEDIUMLUNAD3v AreaLoad request.php sql injectionEPSS 0.3%CVE-2024-30872MEDIUMnetentsec NS-ASG 6.3 is vulnerable to SQL Injection via /include/authrp.php.EPSS 0.3%CVE-2025-52830CRITICALWordPress bSecure – Your Universal Checkout plugin <= 1.7.9 - SQL Injection VulnerabilityEPSS 0.3%CVE-2026-32358HIGHWordPress Booking Calendar plugin <= 10.14.15 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-13385MEDIUMBookme <= 4.2 - Authenticated (Admin+) SQL Injection via 'filter[status]' ParameterEPSS 0.3%CVE-2025-29189HIGHFlowise <= 2.2.3 is vulnerable to SQL Injection. via tableName parameter at Postgres_VectorStores.EPSS 0.3%CVE-2025-46268MEDIUMAdvantech WebAccess/SCADA SQL InjectionEPSS 0.3%CVE-2025-68055HIGHWordPress Hydra Booking plugin <= 1.1.32 - SQL Injection vulnerabilityEPSS 0.3%CVE-2024-49588MEDIUMMultiple authenticated SQL injections in oracle-sidecarEPSS 0.3%CVE-2025-68590HIGHWordPress Integration for Contact Form 7 HubSpot plugin <= 1.4.2 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-12850HIGHMy auctions allegro <= 3.6.32 - Unauthenticated SQL Injection via auction_idEPSS 0.3%CVE-2025-40628CRITICALSQL Injection in DomainsPROEPSS 0.3%CVE-2026-34185HIGHSQL Injection in Hydrosystem Control SystemEPSS 0.3%CVE-2026-11482MEDIUMSourceCodester Class and Exam Timetabling System archive5.php sql injectionEPSS 0.3%CVE-2025-40682HIGHSQL injection vulnerability in Human Resource Management SystemEPSS 0.3%