Falhas do tipo CWE-74

5.079 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-9744MEDIUMCampcodes Online Loan Management System ajax.php sql injectionEPSS 1.9%CVE-2025-10090MEDIUMJinher OA GetTreeDate.aspx sql injectionEPSS 1.9%CVE-2026-93965MEDIUMaiyiyi121 SxDevOps MCP STDIO Server Management services.py subprocess.Popen command injectionEPSS 1.9%CVE-2026-9378MEDIUMEdimax BR-6675nD POST Request formHwSet command injectionEPSS 1.9%CVE-2020-15143HIGHRemote Code Execution in SyliusResourceBundleEPSS 1.9%CVE-2026-9439MEDIUMEdimax BR-6675nD stainfo command injectionEPSS 1.9%CVE-2026-7705MEDIUMJD Cloud JDCOS Service jdcap set_iptv_info command injectionEPSS 1.9%CVE-2026-9296MEDIUMEdimax BR-6428NS POST Request formWlanM system command injectionEPSS 1.9%CVE-2026-9402MEDIUMEdimax BR-6675nD POST Request formWlanMP command injectionEPSS 1.9%CVE-2026-9379MEDIUMEdimax BR-6675nD POST Request formWpsStart command injectionEPSS 1.9%CVE-2026-9362MEDIUMEdimax EW-7438RPn Setting formConnectionSetting command injectionEPSS 1.9%CVE-2026-9361MEDIUMEdimax EW-7438RPn POST Request formAccep formAccept command injectionEPSS 1.9%CVE-2026-9400MEDIUMEdimax BR-6675nD POST Request formUSBStorage command injectionEPSS 1.9%CVE-2026-9363MEDIUMEdimax EW-7438RPn POST Request formEZCHNwlanSetu formEZCHNwlanSetup command injectionEPSS 1.9%CVE-2026-8777MEDIUMEdimax BR-6428NS POST Request formStaDrvSetup command injectionEPSS 1.9%CVE-2026-7682MEDIUMEdimax BR-6208AC L2TP Mode setWAN command injectionEPSS 1.9%CVE-2017-17520HIGHtools/url_handler.pl in TIN 2.4.1 does not validate strings before launching the program specified by the BROWSER environment variable, whicEPSS 1.9%CVE-2026-113389CRITICALDrayTek Vigor2960 CGI Process mainfunction.cgi set_table command injectionEPSS 1.9%CVE-2026-116506CRITICALTOTOLINK A950RG firewall.so apmib_set command injectionEPSS 1.9%CVE-2023-29514CRITICALCode injection in template provider administration in xwiki-platformEPSS 1.9%