Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-4122MEDIUMNetgear JWNR2000v2 sub_435E04 command injectionEPSS 2.7%CVE-2026-116505CRITICALTOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injectionEPSS 2.7%CVE-2025-1448MEDIUMSynway SMG Gateway Management Software 9-12ping.php command injectionEPSS 2.7%CVE-2026-19346HIGHTenda CH22 CertListInfo formCertListInfo command injectionEPSS 2.7%CVE-2025-9935MEDIUMTOTOLINK N600R cstecgi.cgi sub_4159F8 command injectionEPSS 2.7%CVE-2026-7067MEDIUMD-Link DIR-822 udhcpd DHCP Service dhcpd.c system command injectionEPSS 2.7%CVE-2024-49380HIGHPlenti arbitrary file write vulnerabilityEPSS 2.7%CVE-2025-5139MEDIUMQualitor Office 365-type Connection testaConexaoOffice365.php command injectionEPSS 2.7%CVE-2025-6095MEDIUMcodesiddhant Jasmin Ransomware checklogin.php sql injectionEPSS 2.7%CVE-2025-5492MEDIUMD-Link DI-500WF-WT /usr/sbin/jhttpd msp_info.htm sub_456DE8 command injectionEPSS 2.7%CVE-2026-0641MEDIUMTOTOLINK WA300 cstecgi.cgi sub_401510 command injectionEPSS 2.6%CVE-2021-43818HIGHHTML Cleaner allows crafted and SVG embedded scripts to pass throughEPSS 2.6%CVE-2026-1150MEDIUMTotolink LR350 POST Request cstecgi.cgi setTracerouteCfg command injectionEPSS 2.6%CVE-2026-19092CRITICALTutor LMS < 4.0.6 - Unauthenticated Arbitrary Zero-Argument Function Invocation via Template Variable ShadowingEPSS 2.6%CVE-2025-14188HIGHUGREEN DH2100+ nas_svr create handler_file_backup_create command injectionEPSS 2.6%CVE-2022-40145CRITICALApache Karaf: JDBC JAAS LDAP injectionEPSS 2.6%CVE-2026-5562MEDIUMprovectus kafka-ui Endpoint testexecutions validateAccess code injectionEPSS 2.6%CVE-2026-122051CRITICALEdimax BR-6208AC mp command injectionEPSS 2.6%CVE-2025-8518MEDIUMgivanz Vvveb Code Editor code.php save code injectionEPSS 2.6%CVE-2026-5020MEDIUMTotolink A3600R Parameter cstecgi.cgi setNoticeCfg command injectionEPSS 2.6%