Falhas do tipo CWE-74

4.786 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-78197MEDIUMSourceCodester Simple Online Food Ordering System ajax.php save_user sql injectionEPSS 0.4%CVE-2025-10033MEDIUMitsourcecode Online Discussion Forum admin sql injectionEPSS 0.4%CVE-2026-94143MEDIUMdrogonframework drogon ORM Mapper Mapper.h orderBy sql injectionEPSS 0.4%CVE-2026-0575MEDIUMcode-projects Online Product Reservation System Administrator Login adminlogin.php sql injectionEPSS 0.4%CVE-2025-13240MEDIUMcode-projects Student Information System searchquery.php sql injectionEPSS 0.4%CVE-2026-94144MEDIUMdrogonframework drogon ORM Criteria.cc makeCriteria sql injectionEPSS 0.4%CVE-2026-19926MEDIUMEvergreen open-ils.fielder OpenSRF Service osrf-gateway-v1 sql injectionEPSS 0.4%CVE-2025-13241MEDIUMcode-projects Student Information System index.php sql injectionEPSS 0.4%CVE-2026-0579MEDIUMcode-projects Online Product Reservation System POST Parameter edit.php sql injectionEPSS 0.4%CVE-2026-86223MEDIUMSourceCodester Class and Exam Timetabling System modal_add_coursea.php mysqli_query sql injectionEPSS 0.4%CVE-2025-10394MEDIUMfcba_zzm ics-park Smart Park Management System Scheduled Task JobController.java code injectionEPSS 0.4%CVE-2025-10668MEDIUMitsourcecode Online Discussion Forum compose_msg_admin.php sql injectionEPSS 0.4%CVE-2025-8203MEDIUMJingmen Zeyou Large File Upload Control index.jsp sql injectionEPSS 0.4%CVE-2025-3135MEDIUMfcba_zzm ics-park Smart Park Management System update sql injectionEPSS 0.4%CVE-2025-0558MEDIUMTDuckCloud tduck-platform QueryProThemeRequest.java QueryProThemeRequest sql injectionEPSS 0.4%CVE-2025-2132MEDIUMftcms Search ajax_all_lists sql injectionEPSS 0.4%CVE-2026-4516MEDIUMFoundation Agents MetaGPT DataInterpreter write_analysis_code.py injectionEPSS 0.4%CVE-2026-4515MEDIUMFoundation Agents MetaGPT operator.py code_generate code injectionEPSS 0.4%CVE-2020-27260—Innokas Yhtymä Oy Vital Signs Monitor VC150 prior to Version 1.7.15 HL7 v2.x injection vulnerabilities exist in the affected products that aEPSS 0.4%CVE-2026-5848MEDIUMjeecgboot JimuReport Data Source testConnection DriverManager.getConnection code injectionEPSS 0.4%