Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-9934MEDIUMTOTOLINK X5000R cstecgi.cgi sub_410C34 command injectionEPSS 3.4%CVE-2025-14208MEDIUMD-Link DIR-823X set_wan_settings sub_415028 command injectionEPSS 3.4%CVE-2025-7415MEDIUMTenda O3V2 httpd getTraceroute fromTraceroutGet command injectionEPSS 3.4%CVE-2026-5153MEDIUMTenda CH22 WriteFacMac FormWriteFacMac command injectionEPSS 3.4%CVE-2023-51664HIGHtj-actions/changed-files command injection in output filenamesEPSS 3.4%CVE-2026-7102MEDIUMTenda F456 httpd WriteFacMac FromWriteFacMac command injectionEPSS 3.3%CVE-2026-3484MEDIUMPhialsBasement nmap-mcp-server Nmap CLI index.ts child_process.exec command injectionEPSS 3.3%CVE-2026-7160HIGHTenda HG3 formTracert command injectionEPSS 3.3%CVE-2026-82971CRITICALQVidium Opera11 CGI Script net_tr.cgi command injectionEPSS 3.3%CVE-2026-12197HIGHRuijie EG105G-P JSON-RPC Diagnose Endpoint diagnose nslookup command injectionEPSS 3.2%CVE-2026-18787HIGHGL.iNet AX1800 RPC Endpoint oui-rpc.lua remove_rule command injectionEPSS 3.2%CVE-2026-18598HIGHGL.iNet GL-MT3000 Logread Lua RPC plugin logread logread.get_system_log command injectionEPSS 3.2%CVE-2026-83524CRITICALRedPort Optimizer wXa-223 System Clock datetime.php exec command injectionEPSS 3.2%CVE-2026-18600HIGHGL.iNet GL-MT3000 Network Lua RPC Plugin network network.switch_status command injectionEPSS 3.2%CVE-2026-83772CRITICALCobham SATCOM VSAT7090 Maritime Satellite Router JSON Parsing mail-report.sh c_set_reports_decode command injectionEPSS 3.2%CVE-2026-1687MEDIUMTenda HG10 Boa Webserver formSamba command injectionEPSS 3.2%CVE-2026-2533MEDIUMTosei Self-service Washing Machine tosei_datasend.php command injectionEPSS 3.2%CVE-2026-6989MEDIUMTenda F453 Telnet Service telnet TendaTelnet command injectionEPSS 3.2%CVE-2025-6775MEDIUMxiaoyunjie openvpn-cms-flask User Creation Endpoint openvpn.py create_user command injectionEPSS 3.2%CVE-2026-7833HIGHEFM ipTIME C200 ApplyRestore Endpoint iux_set.cgi sub_408F90 command injectionEPSS 3.2%