Falhas do tipo CWE-707

262 resultados

Neutralização inadequada de entrada maliciosa

É quando a aplicação falha em remover ou escapar caracteres e sequências perigosas dos dados de entrada antes de usá-los em contextos sensíveis (SQL, HTML, comandos do sistema). O resultado é que um atacante consegue injetar código ou comandos que serão executados com as permissões da aplicação.

Exemplo

Um formulário web que recebe nome de usuário e o insere diretamente em uma query SQL sem sanitização. O atacante entra com `admin' --` e, em vez de buscar um usuário, contorna a autenticação ou acessa dados não autorizados.

Como mitigar

Use prepared statements ou ORMs que separarem dados de estrutura de comando. Para saída em HTML, encode caracteres especiais. Valide entrada com whitelist (só aceite o que você sabe ser seguro) e não confie em validação no cliente.

CVE-2022-3877LOWClick Studios Passwordstate URL Field cross site scriptingEPSS 0.7%CVE-2022-3464MEDIUMpuppyCMS settings.php cross site scriptingEPSS 0.7%CVE-2022-3548LOWSourceCodester Simple Cold Storage Management System Add New Storage cross site scriptingEPSS 0.7%CVE-2021-27493MEDIUMPhilips Vue PACS EPSS 0.7%CVE-2022-3988LOWFrappe Search navbar_search.html cross site scriptingEPSS 0.7%CVE-2022-3733MEDIUMSourceCodester Web-Based Student Clearance System edit-admin.php sql injectionEPSS 0.7%CVE-2022-4274MEDIUMHouse Rental System view-property.php sql injectionEPSS 0.7%CVE-2022-4275MEDIUMHouse Rental System POST Request search-property.php sql injectionEPSS 0.7%CVE-2022-3434LOWSourceCodester Web-Based Student Clearance System add-student.php prepare cross site scriptingEPSS 0.7%CVE-2021-4261MEDIUMpacman-canvas db-handler.php addHighscore sql injectionEPSS 0.7%CVE-2022-3798MEDIUMIBAX go-ibax tablesInfo sql injectionEPSS 0.6%CVE-2022-3802MEDIUMIBAX go-ibax rowsInfo sql injectionEPSS 0.6%CVE-2022-3973HIGHPingkon HMS-PHP Data Pump Metadata admin.php sql injectionEPSS 0.6%CVE-2022-3972HIGHPingkon HMS-PHP adminlogin.php sql injectionEPSS 0.6%CVE-2022-3470MEDIUMSourceCodester Human Resource Management System getstatecity.php sql injectionEPSS 0.6%CVE-2022-3472MEDIUMSourceCodester Human Resource Management System city.php sql injectionEPSS 0.6%CVE-2022-3471MEDIUMSourceCodester Human Resource Management System city.php sql injectionEPSS 0.6%CVE-2022-4597LOWShoplazza LifeStyle Create Product v2_products cross site scriptingEPSS 0.6%CVE-2022-4596LOWShoplazza Add Blog Post cross site scriptingEPSS 0.6%CVE-2022-3467MEDIUMJiusi OA hntdCustomDesktopActionContent sql injectionEPSS 0.6%