Falhas do tipo CWE-74

4.802 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-9840MEDIUMitsourcecode Sports Management System gametype.php sql injectionEPSS 0.4%CVE-2018-25106MEDIUMwebuidesigning NebulaX Theme Legacy.php nebula_send_to_hubspot sql injectionEPSS 0.4%CVE-2026-55374MEDIUMcanto-saas-api: Authenticated API requests can be redirected via unencoded path variablesEPSS 0.4%CVE-2025-5783MEDIUMPHPGurukul Employee Record Management System editmyexp.php sql injectionEPSS 0.4%CVE-2026-81526HIGHCross-database write redirection via unvalidated dotted database name in bulk write namespacesEPSS 0.4%CVE-2026-0701MEDIUMcode-projects Intern Membership Management System add_admin.php sql injectionEPSS 0.4%CVE-2026-1118MEDIUMitsourcecode Society Management System add_activity.php sql injectionEPSS 0.4%CVE-2026-0697MEDIUMcode-projects Intern Membership Management System edit_admin.php sql injectionEPSS 0.4%CVE-2026-0699MEDIUMcode-projects Intern Membership Management System edit_activity.php sql injectionEPSS 0.4%CVE-2025-4213MEDIUMPHPGurukul Online Birth Certificate System search.php sql injectionEPSS 0.4%CVE-2025-4152MEDIUMPHPGurukul Online Birth Certificate System bwdates-reports-details.php sql injectionEPSS 0.4%CVE-2025-1691HIGHMongoDB Shell may be susceptible to Control Character Injection via autocompleteEPSS 0.4%CVE-2025-9412MEDIUMlostvip-com ruoyi-go DictDataDao.go SelectListByPage sql injectionEPSS 0.4%CVE-2025-9410MEDIUMlostvip-com ruoyi-go GenTableDao.go SelectListByPage sql injectionEPSS 0.4%CVE-2024-37442LOWWordPress Photo Gallery by Ays – Responsive Image Gallery plugin < 5.7.1 - HTML Injection vulnerabilityEPSS 0.4%CVE-2026-0850MEDIUMcode-projects Intern Membership Management System delete_activity.php sql injectionEPSS 0.4%CVE-2025-9411MEDIUMlostvip-com ruoyi-go LoginInforService.go SelectPageList sql injectionEPSS 0.4%CVE-2025-13279MEDIUMcode-projects Nero Social Networking Site profilefriends.php sql injectionEPSS 0.4%CVE-2025-14589MEDIUMcode-projects Prison Management System search.php sql injectionEPSS 0.4%CVE-2025-14834MEDIUMcode-projects Simple Stock System checkuser.php sql injectionEPSS 0.4%