Fallos del tipo CWE-89

13.346 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2025-13259MEDIUMCampcodes Supplier Management System edit_unit.php sql injectionEPSS 0.3%CVE-2026-111669HIGHZR.Admin.NET through 3.8.2 SQL Injection via PagerInfo.Sort ORDER BYEPSS 0.3%CVE-2025-68857CRITICALWordPress Paid Downloads plugin <= 3.15 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-12166HIGHSimply Schedule Appointments <= 1.6.9.9 - Unauthenticated SQL Injection via `order` and `append_where_sql` ParametersEPSS 0.3%CVE-2026-72610MEDIUMKoha Community Koha - Stored SQL Injection via Patron lang Field in Issue Slip GenerationEPSS 0.3%CVE-2025-67520HIGHWordPress Media Library Tools plugin <= 1.6.15 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-65022HIGHi-Educar Authenticated Time-based SQL Injection in `agenda.php`EPSS 0.3%CVE-2025-14090MEDIUMAMTT Hotel Broadband Operation System cardmake_down.php sql injectionEPSS 0.3%CVE-2026-1719HIGHGravity Bookings <= 2.5.9 - Unauthenticated SQL Injection via 'category_id' ParameterEPSS 0.3%CVE-2025-10477MEDIUMkidaze CourseSelectionSystem eligibility.php sql injectionEPSS 0.3%CVE-2019-25473HIGHClinic Pro SQL Injection via monthly_expense_overview month ParameterEPSS 0.3%CVE-2025-9606MEDIUMPortabilis i-Educar agenda_preferencias.php sql injectionEPSS 0.3%CVE-2026-15081HIGHLocation Selector - Critical - SQL Injection - SA-CONTRIB-2026-072EPSS 0.3%CVE-2025-11330MEDIUMPHPGurukul Beauty Parlour Management System sales-reports-detail.php sql injectionEPSS 0.3%CVE-2025-9399MEDIUMYiFang CMS L_tool.php sql injectionEPSS 0.3%CVE-2025-13260MEDIUMCampcodes Supplier Management System edit_product.php sql injectionEPSS 0.3%CVE-2026-53557HIGHSQLBot: Second-Order SQL Injection via Excel Datasource Leading to Remote Command ExecutionEPSS 0.3%CVE-2026-2963MEDIUMJinher OA C6 OfficeSupplyTypeRight.aspx sql injectionEPSS 0.3%CVE-2026-111619HIGHFilePress through 3.0.1 SQL Injection via asc Parameter in filelist.phpEPSS 0.3%CVE-2026-109663HIGHFrappe ERPNext before 15.113.0 SQL Injection via Unvalidated Endpoint ParametersEPSS 0.3%