Fallos del tipo CWE-89

11.952 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2026-34185HIGHSQL Injection in Hydrosystem Control SystemEPSS 0.3%CVE-2025-68570HIGHWordPress Captivate Sync plugin <= 3.2.2 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-12850HIGHMy auctions allegro <= 3.6.32 - Unauthenticated SQL Injection via auction_idEPSS 0.3%CVE-2024-33009MEDIUMSQL injection vulnerability in SAP Global Label Management (GLM)EPSS 0.3%CVE-2025-40635CRITICALSQL injection at ComerzziaEPSS 0.3%CVE-2025-40682HIGHSQL injection vulnerability in Human Resource Management SystemEPSS 0.3%CVE-2025-14246MEDIUMcode-projects Simple Shopping Cart settings.php sql injectionEPSS 0.3%CVE-2024-50584MEDIUMSQL InjectionEPSS 0.3%CVE-2025-14254HIGHGalaxy Software Services｜Vitals ESP - SQL InjectionEPSS 0.3%CVE-2025-14255HIGHGalaxy Software Services｜Vitals ESP - SQL InjectionEPSS 0.3%CVE-2025-67928CRITICALWordPress Automotive Listings plugin <= 18.6 - SQL Injection vulnerabilityEPSS 0.3%CVE-2020-37141HIGHAMSS++ v 4.31 - 'id' SQL InjectionEPSS 0.3%CVE-2025-3318MEDIUMKenj_Frog 肯尼基蛙 company-financial-management 公司财务管理系统 ShangpinleixingController.java page sql injectionEPSS 0.3%CVE-2026-52693CRITICALWordPress eCommerce Product Catalog plugin <= 3.5.5 - SQL Injection vulnerabilityEPSS 0.3%CVE-2026-44238HIGHFreePBX: Authenticated SQL Injection via ORDER BY in CDR ReportsEPSS 0.3%CVE-2025-12166HIGHSimply Schedule Appointments <= 1.6.9.9 - Unauthenticated SQL Injection via `order` and `append_where_sql` ParametersEPSS 0.3%CVE-2026-3105HIGHSQL Injection in Contact Activity API SortingEPSS 0.3%CVE-2026-49067CRITICALWordPress Advanced 301 and 302 Redirect plugin <= 1.6.9 - SQL Injection vulnerabilityEPSS 0.3%CVE-2026-49776CRITICALWordPress GPTranslate – Multilingual AI Translation for WordPress: Automatically Translate Websites plugin <= 2.32.6 - SQL Injection vulnerabilityEPSS 0.3%CVE-2024-9149HIGHSQLi in Wind Media's E-Commerce Website TemplateEPSS 0.3%