Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-33475CRITICALLangflow GitHub Actions Shell InjectionEPSS 3.2%CVE-2026-79698CRITICALAdvantech WISE-6610-NB Node-RED nodered_lib_apply command injectionEPSS 3.2%CVE-2026-1689MEDIUMTenda HG10 Login formLogin checkUserFromLanOrWan command injectionEPSS 3.1%CVE-2022-39265HIGHMail settings' command parameter injection in mybbEPSS 3.1%CVE-2025-50578CRITICALLinuxServer.io heimdall 2.6.3-ls307 contains a vulnerability in how it handles user-supplied HTTP headers, specifically `X-Forwarded-Host` aEPSS 3.1%CVE-2025-10107MEDIUMTRENDnet TEW-831DR formSysCmd command injectionEPSS 3.1%CVE-2020-26222HIGHRemote code execution in dependabot-coreEPSS 3.1%CVE-2026-19747CRITICALTenda CH7 ATE Module Kylin HandleCmd command injectionEPSS 3.1%CVE-2021-21249CRITICALPost-Auth Unsafe Yaml deserializationEPSS 3.1%CVE-2020-5245HIGHRemote Code Execution (RCE) vulnerability in dropwizard-validationEPSS 3.1%CVE-2026-102792CRITICALZiroom ZHOME A0101 set_syslog command injectionEPSS 3.0%CVE-2026-1413MEDIUMSangfor Operation and Maintenance Security Management System HTTP POST Request port_validate portValidate command injectionEPSS 3.0%CVE-2026-1149MEDIUMTotolink LR350 POST Request cstecgi.cgi setDiagnosisCfg command injectionEPSS 3.0%CVE-2026-1547MEDIUMTotolink A7000R cstecgi.cgi setUnloadUserData command injectionEPSS 3.0%CVE-2025-56266CRITICALA Host Header Injection vulnerability in Avigilon ACM v7.10.0.20 allows attackers to execute arbitrary code via supplying a crafted URL.EPSS 3.0%CVE-2026-7687MEDIUMlangflow-ai langflow Full Builtins code_parser.py CodeParser.parse_callable_details command injectionEPSS 3.0%CVE-2026-1624MEDIUMD-Link DWR-M961 formLtefotaUpgradeFibocom command injectionEPSS 3.0%CVE-2026-1625MEDIUMD-Link DWR-M961 SMS Message formSmsManage sub_4250E0 command injectionEPSS 3.0%CVE-2026-5333MEDIUMDefaultFuction Content-Management-System tools.php command injectionEPSS 3.0%CVE-2026-94097CRITICALNetcore NBR200V2 CGI Diagnostic Endpoint network_tools command injectionEPSS 3.0%