Falhas do tipo CWE-74

4.734 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2022-25167—Apache Flume vulnerable to a JNDI RCE in JMSSourceEPSS 5.1%CVE-2025-9583MEDIUMComfast CF-N1 webmgnt ping_config command injectionEPSS 5.1%CVE-2025-9585MEDIUMComfast CF-N1 webmgnt wifilith_delete_pic_file command injectionEPSS 5.1%CVE-2025-12916MEDIUMSangfor Operation and Maintenance Security Management System Frontend portal_login command injectionEPSS 5.1%CVE-2026-10060MEDIUMTRENDnet TEW-432BRP formSetRoute command injectionEPSS 5.0%CVE-2026-10061MEDIUMTRENDnet TEW-432BRP formWPS command injectionEPSS 5.0%CVE-2021-43837HIGHTemplate injection in vault-cliEPSS 5.0%CVE-2025-7932MEDIUMD-Link DIR‑817L ssdpcgi lxmldbc_system command injectionEPSS 5.0%CVE-2026-7690MEDIUMWavlink WL-WN570HA1 adm.cgi set_sys_adm command injectionEPSS 5.0%CVE-2026-1414MEDIUMSangfor Operation and Maintenance Security Management System HTTP POST Request get_Information getInformation command injectionEPSS 4.9%CVE-2026-3704MEDIUMWavlink NU516U1 Incomplete Fix CVE-2025-10959 firewall.cgi sub_405B2C command injectionEPSS 4.9%CVE-2025-4340MEDIUMD-Link DIR-890L/DIR-806A1 soap.cgi sub_175C8 command injectionEPSS 4.9%CVE-2020-26282CRITICALTemplate Injection in BrowserUp ProxyEPSS 4.8%CVE-2026-5338MEDIUMTenda G103 Setting system.lua action_set_system_settings command injectionEPSS 4.8%CVE-2025-5126HIGHTeledyne FLIR AX8 settingsregional.php setDataTime command injectionEPSS 4.7%CVE-2025-10123MEDIUMD-Link DIR-823X set_static_leases sub_415028 command injectionEPSS 4.7%CVE-2025-5763MEDIUMTenda CP3 apollo sub_F3C8C command injectionEPSS 4.7%CVE-2025-11335MEDIUMD-Link DI-7100G C1 jhttpd msp_info.htm sub_46409C command injectionEPSS 4.6%CVE-2020-15238HIGHLocal privilege escalation BluemanEPSS 4.6%CVE-2026-1063MEDIUMbastillion-io Bastillion Public Key Management System AuthKeysKtrl.java command injectionEPSS 4.6%