Falhas do tipo CWE-74

5.079 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-77004MEDIUMComfast CF-N1-S mbox-config sprintf command injectionEPSS 1.8%CVE-2026-11448MEDIUMGL.iNet GL-MT3000 Minidlna Service rpc realpath command injectionEPSS 1.7%CVE-2016-15004HIGHInfiniteWP Client Plugin injectionEPSS 1.7%CVE-2026-11450MEDIUMGL.iNet GL-MT3000 Path Normalization dlopen command injectionEPSS 1.7%CVE-2025-11073MEDIUMKeyfactor RG-EW5100BE HTTP POST Request cmd command injectionEPSS 1.7%CVE-2023-43667HIGHApache InLong: Log Injection in Global functionsEPSS 1.7%CVE-2023-43835HIGHSuper Store Finder 3.7 and below is vulnerable to authenticated Arbitrary PHP Code Injection that could lead to Remote Code Execution when sEPSS 1.7%CVE-2022-24832HIGHBundled ldap-authentication-plugin fails to neutralise LDAP special elements in usernamesEPSS 1.7%CVE-2026-94099CRITICALNetcore NBR200V2 Backup Restore restore.cgi command injectionEPSS 1.7%CVE-2017-17514HIGHboxes.c in nip2 8.4.0 does not validate strings before launching the program specified by the BROWSER environment variable, which might alloEPSS 1.7%CVE-2023-46304HIGHmodules/Users/models/Module.php in Vtiger CRM 7.5.0 allows a remote authenticated attacker to run arbitrary PHP code because an unprotected EPSS 1.7%CVE-2026-108916MEDIUMEdimax BR-6208AC formAccept command injectionEPSS 1.7%CVE-2026-19263MEDIUMINQUIRELAB mcp-bridge-api Servers Endpoint mcp-bridge.js command injectionEPSS 1.6%CVE-2025-11488MEDIUMD-Link DIR-852 HNAP1 command injectionEPSS 1.6%CVE-2026-18980MEDIUMnearai ironclaw shell.rs classify_command_risk command injectionEPSS 1.6%CVE-2020-7489CRITICALA CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') vulnerability exists on EcoStruEPSS 1.6%CVE-2026-4192MEDIUMAvinashBole quip-mcp-server index.ts setupToolHandlers command injectionEPSS 1.6%CVE-2021-21263HIGHQuery Binding Exploitation in LaravelEPSS 1.6%CVE-2022-20693MEDIUMCisco IOS XE Software Web UI API Injection VulnerabilityEPSS 1.6%CVE-2021-21278HIGHRisk of code injection in RSSHubEPSS 1.6%