Falhas do tipo CWE-74

4.786 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-12261MEDIUMCodeAstro Gym Management System remove-announcement.php sql injectionEPSS 0.5%CVE-2025-9829MEDIUMPHPGurukul Beauty Parlour Management System signup.php sql injectionEPSS 0.5%CVE-2025-5615MEDIUMPHPGurukul Online Fire Reporting System details.php sql injectionEPSS 0.5%CVE-2025-5614MEDIUMPHPGurukul Online Fire Reporting System search-report-result.php sql injectionEPSS 0.5%CVE-2025-14711MEDIUMFantasticLBP Hotels Server hotelList.php sql injectionEPSS 0.5%CVE-2025-0489MEDIUMFanli2012 native-php-cms friendlink_dodel.php sql injectionEPSS 0.4%CVE-2025-0488MEDIUMFanli2012 native-php-cms product_list.php sql injectionEPSS 0.4%CVE-2023-6004MEDIUMLibssh: proxycommand/proxyjump features allow injection of malicious code through hostnameEPSS 0.4%CVE-2026-19988MEDIUMAlaev SEO Tools Extension Popup UI popup.html addDiv cross site scriptingEPSS 0.4%CVE-2025-3956MEDIUM201206030 novel-cloud BookInfoMapper.xml RestResp sql injectionEPSS 0.4%CVE-2026-75082MEDIUMWebkul Bagisto Customer-Registration Notification Email register cross site scriptingEPSS 0.4%CVE-2026-68747LOWCSS sanitizer allowlist bypass in html_sanitize_ex via non-declaration inputEPSS 0.4%CVE-2025-15183MEDIUMcode-projects Refugee Food Management System viewtakenfd.php sql injectionEPSS 0.4%CVE-2026-1059MEDIUMFeMiner wms chkuser.php sql injectionEPSS 0.4%CVE-2026-54543MEDIUMFroxlor DomainZones.add allows DNS zone-file RR injection via record/type fieldsEPSS 0.4%CVE-2024-12939MEDIUMcode-projects Job Recruitment _all_edits.php add_edu sql injectionEPSS 0.4%CVE-2025-15436MEDIUMYonyou KSOA work_edit.jsp sql injectionEPSS 0.4%CVE-2025-1374MEDIUMcode-projects Real Estate Property Management System search.php sql injectionEPSS 0.4%CVE-2025-0531MEDIUMcode-projects Chat System leaveroom.php sql injectionEPSS 0.4%CVE-2025-9768MEDIUMitsourcecode Sports Management System mode.php sql injectionEPSS 0.4%