Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-12809MEDIUMEdimax BR-6478AC V2 POST Request wiz_5in1_redirect command injectionEPSS 2.4%CVE-2026-12808MEDIUMEdimax BR-6478AC V2 POST Request stainfo command injectionEPSS 2.4%CVE-2026-12807MEDIUMEdimax BR-6478AC V2 POST Request setWAN command injectionEPSS 2.4%CVE-2026-12810MEDIUMEdimax BR-6478AC V2 POST Request mp command injectionEPSS 2.4%CVE-2026-101262CRITICALZiroom ZHOME A0101 set_online_client command injectionEPSS 2.4%CVE-2026-102794CRITICALZiroom ZHOME A0101 ping command injectionEPSS 2.4%CVE-2026-94095CRITICALNetcore NBR200V2 Traceroute Diagnostic Feature network_tools command injectionEPSS 2.4%CVE-2026-101263CRITICALZiroom ZHOME A0101 set_online_client command injectionEPSS 2.3%CVE-2026-101264CRITICALZiroom ZHOME A0101 set_passwd command injectionEPSS 2.3%CVE-2026-101008CRITICALaaPanel BaoTa File Merge files.py merge_split_file command injectionEPSS 2.3%CVE-2026-101260CRITICALZiroom ZHOME A0101 firstLogin command injectionEPSS 2.3%CVE-2026-101187CRITICALZiroom ZHOME A0101 USB Device Management API zrUsb.lua pop_usb_device command injectionEPSS 2.3%CVE-2026-90704MEDIUMD-Link DWR-M921 formDiskPartition system command injectionEPSS 2.3%CVE-2023-40035HIGHCraft CMS vulnerable to Remote Code Execution via validatePath bypassEPSS 2.3%CVE-2025-0328MEDIUMKaiYuanTong ECT Platform HTTP POST Request runCode.php command injectionEPSS 2.3%CVE-2023-41834—Apache Flink Stateful Functions allowed HTTP header injection due to Improper Neutralization of CRLF SequencesEPSS 2.3%CVE-2026-9297MEDIUMEdimax BR-6428NS POST Request formWlbasic command injectionEPSS 2.3%CVE-2026-9359MEDIUMEdimax EW-7438RPn POST Request formHwSet command injectionEPSS 2.3%CVE-2026-86295MEDIUMD-Link DIR-895L udhcpcd serverpacket.c sendACK command injectionEPSS 2.3%CVE-2022-31086MEDIUMIncorrect Regular Expressions in ldap-account-managerEPSS 2.3%