Falhas do tipo CWE-74

4.786 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-5226MEDIUMPHPGurukul Small CRM change-password.php sql injectionEPSS 0.4%CVE-2026-4236MEDIUMitsourcecode Online Enrollment System index.php sql injectionEPSS 0.4%CVE-2026-8133MEDIUMzyx0814 FilePress Shares Filelist API admin.php sql injectionEPSS 0.4%CVE-2025-10403MEDIUMPHPGurukul Beauty Parlour Management System view-enquiry.php sql injectionEPSS 0.4%CVE-2025-5227MEDIUMPHPGurukul Small CRM manage-tickets.php sql injectionEPSS 0.4%CVE-2025-9742MEDIUMcode-projects Human Resource Integrated System login.php sql injectionEPSS 0.4%CVE-2026-12888LOWHTML injection in the Canarytoken Google Chat notificationEPSS 0.4%CVE-2025-15393MEDIUMKohana KodiCMS Layout API Endpoint file.php save code injectionEPSS 0.4%CVE-2025-8936MEDIUM1000 Projects Sales Management System dordupdate.php sql injectionEPSS 0.4%CVE-2025-9933MEDIUMPHPGurukul Beauty Parlour Management System view-appointment.php sql injectionEPSS 0.4%CVE-2025-9925MEDIUMprojectworlds Travel Management System detail.php sql injectionEPSS 0.4%CVE-2025-11032MEDIUMkidaze CourseSelectionSystem COUNT3s6.php sql injectionEPSS 0.4%CVE-2026-48813HIGHFlawfinder output manipulation via untrusted filenames and source textEPSS 0.4%CVE-2025-5755MEDIUMSourceCodester Open Source Clinic Management System email_config.php sql injectionEPSS 0.4%CVE-2025-4704MEDIUMPHPGurukul Vehicle Parking Management System edit-category.php sql injectionEPSS 0.4%CVE-2026-25750HIGHLangSmith Studio has URL Parameter Injection Vulnerability that Enables Token Theft via Malicious baseUrlEPSS 0.4%CVE-2025-9924MEDIUMprojectworlds Travel Management System enquiry.php sql injectionEPSS 0.4%CVE-2025-9927MEDIUMprojectworlds Travel Management System viewpackage.php sql injectionEPSS 0.4%CVE-2025-9593MEDIUMitsourcecode Apartment Management System unit_status_info.php sql injectionEPSS 0.4%CVE-2025-11033MEDIUMkidaze CourseSelectionSystem COUNT3s7.php sql injectionEPSS 0.4%