Fallos del tipo CWE-89

13.401 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2026-109639HIGHFrappe ERPNext before 15.102.0 SQL Injection via Unvalidated Endpoint RequestsEPSS 0.3%CVE-2026-109649HIGHFrappe ERPNext before 15.102.0 SQL Injection via Unvalidated Endpoint RequestsEPSS 0.3%CVE-2026-109648HIGHFrappe ERPNext before 15.106.0 SQL Injection via Missing Input ValidationEPSS 0.3%CVE-2026-109609HIGHFrappe ERPNext before 15.119.1 SQL Injection via Missing Input ValidationEPSS 0.3%CVE-2026-109638HIGHFrappe ERPNext before 15.110.0 SQL Injection via Missing Input ValidationEPSS 0.3%CVE-2021-47956HIGHEgavilanMedia PHPCRUD 1.0 SQL Injection via firstnameEPSS 0.3%CVE-2019-25713HIGHMyT-PM 1.5.1 SQL Injection via Charge[group_total] ParameterEPSS 0.3%CVE-2020-37244HIGHWordPress Plugin Supsystic Membership 1.4.7 SQL Injection via sidxEPSS 0.3%CVE-2020-37242HIGHWordPress Plugin Supsystic Ultimate Maps 1.1.12 SQL Injection via sidxEPSS 0.3%CVE-2026-109647HIGHFrappe ERPNext before 15.106.0 SQL Injection via Missing ValidationEPSS 0.3%CVE-2026-11488MEDIUMcode-projects Simple Flight Ticket Booking System POST Parameter checkUser.php sql injectionEPSS 0.3%CVE-2026-21892MEDIUMParsl Monitoring Visualization Vulnerable to SQL InjectionEPSS 0.3%CVE-2026-114256MEDIUMoretnom23 file-management-system-php Folder Management admin_class.php save_files sql injectionEPSS 0.3%CVE-2026-95865MEDIUMBeaver Builder Page Builder <= 2.11.0.5 - Authenticated (Contributor+) SQL Injection via 'fields[][value]' ParameterEPSS 0.3%CVE-2025-49404HIGHWordPress Listeo-Core Plugin < 2.0.7 - SQL Injection VulnerabilityEPSS 0.3%CVE-2025-12465HIGHBlind SQL Injection in QuickCMSEPSS 0.3%CVE-2026-11486MEDIUMSourceCodester Class and Exam Timetabling System archive1.php sql injectionEPSS 0.3%CVE-2026-11485MEDIUMSourceCodester Class and Exam Timetabling System archive2.php sql injectionEPSS 0.3%CVE-2026-107712MEDIUMWP Booking System <= 2.1.0.1 - Authenticated (Subscriber+) SQL Injection via 'current_month' ParameterEPSS 0.3%CVE-2026-15929HIGHImproper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in LG Electronics SmartShare allows SQL IEPSS 0.3%