Fallos del tipo CWE-89

13.404 resultados

Injeção de SQL

Ocorre quando dados fornecidos por um usuário são incorporados diretamente em comandos SQL sem validação ou sanitização, permitindo que um atacante modifique a lógica da consulta. O risco é grave: exposição de dados sensíveis, modificação ou deleção de registros, e até comprometimento do servidor de banco de dados.

Ejemplo

Um formulário de login que constrói a consulta como `SELECT * FROM users WHERE login = '` + entrada_do_usuario + `'` permite que alguém digite `admin' --` e contorne a verificação de senha, ou `' OR '1'='1` para listar todos os usuários.

Cómo mitigar

Use prepared statements ou stored procedures com parâmetros vinculados (nunca concatenação de strings). Se necessário filtrar, aplique whitelist rigorosa e escape adequado para o banco de dados específico. Implemente validação de entrada e princípio do menor privilégio na conta do banco.

CVE-2026-89287HIGHASPL Product Quotation <= 1.1.0 - Unauthenticated SQLi via 'quote_id' ParameterEPSS 0.3%CVE-2026-89213HIGHLlavero.io <= 0.1.4 - Unauthenticated Blind SQLi via 'cill_login' ParameterEPSS 0.3%CVE-2026-89285HIGHDatalist it <= 0.0.3 - Unauthenticated SQLi via dli_fronted_actionEPSS 0.3%CVE-2017-20247HIGHWordPress Plugin PICA Photo Gallery 1.0 SQL InjectionEPSS 0.3%CVE-2018-25422HIGHMOGG web simulator Script All Version SQL Injection via play.phpEPSS 0.3%CVE-2026-89299HIGHWP Verify API <= 1.0.0 - Unauthenticated SQLi via 'verify' ParameterEPSS 0.3%CVE-2019-25745HIGHWordPress Plugin Google Review Slider 6.1 SQL Injection via tidEPSS 0.3%CVE-2026-89195HIGHSite Setup Wizard <= 1.5.8 - Unauthenticated SQLi via ssw_check_admin_email_existsEPSS 0.3%CVE-2026-10237MEDIUMSourceCodester Water Billing Management System User Management manage_user sql injectionEPSS 0.3%CVE-2026-89214HIGHWpCues Basic Quiz <= 1.6.5 - Unauthenticated SQLi via Quiz Result SubmissionEPSS 0.3%CVE-2019-25732HIGHPHP EI-Tube Script 3 SQL Injection via search parameterEPSS 0.3%CVE-2026-92998HIGHClick n Chat 1.0.4 - 1.1.2 - Unauthenticated SQLi via 'sort_by'/'sort_order' ParametersEPSS 0.3%CVE-2026-89297HIGHLoja Automática <= 1.0.0 - Unauthenticated SQLi via 'id' ParameterEPSS 0.3%CVE-2025-68550HIGHWordPress WPBulky plugin <= 1.1.13 - SQL Injection vulnerabilityEPSS 0.3%CVE-2025-66095HIGHWordPress KiviCare plugin <= 3.6.13 - SQL Injection vulnerabilityEPSS 0.3%CVE-2020-19248MEDIUMSQL Injection vulnerability in PbootCMS 1.4.1 in parsing if statements in templates, resulting in a malicious user's ability to contaminate EPSS 0.3%CVE-2026-19778MEDIUMWPMR Google Feed Manager for WooCommerce <= 2.23.7 - Authenticated (Administrator+) SQL Injection via 'feed' ParameterEPSS 0.3%CVE-2026-19704MEDIUMComments – wpDiscuz < 7.6.66 - Unauthenticated Comment Disclosure via SQLiEPSS 0.3%CVE-2018-25175HIGHAlienor Web Libre 2.0 SQL Injection via index.phpEPSS 0.3%CVE-2026-114384MEDIUMitsourcecode Online Cake Ordering System transactionsave.php sql injectionEPSS 0.3%