Falhas do tipo CWE-74

4.735 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2016-15004HIGHInfiniteWP Client Plugin injectionEPSS 1.8%CVE-2022-36323CRITICALAffected devices do not properly sanitize an input field. This could allow an authenticated remote attacker with administrative privileges EPSS 1.7%CVE-2022-24832HIGHBundled ldap-authentication-plugin fails to neutralise LDAP special elements in usernamesEPSS 1.7%CVE-2017-17514HIGHboxes.c in nip2 8.4.0 does not validate strings before launching the program specified by the BROWSER environment variable, which might alloEPSS 1.7%CVE-2025-7883HIGHEluktronics Control Center Powershell Script Command command injectionEPSS 1.7%CVE-2026-11452MEDIUMGL.iNet GL-MT3000 SET_USER_PWD glc FUN_0042e200 command injectionEPSS 1.7%CVE-2023-46304HIGHmodules/Users/models/Module.php in Vtiger CRM 7.5.0 allows a remote authenticated attacker to run arbitrary PHP code because an unprotected EPSS 1.7%CVE-2025-7578LOWTeledyne FLIR FB-Series O/FLIR FH-Series ID runcmd.sh sendCommand command injectionEPSS 1.6%CVE-2025-14276MEDIUMIlevia EVE X1 Server leaf_search.php command injectionEPSS 1.6%CVE-2025-11488MEDIUMD-Link DIR-852 HNAP1 command injectionEPSS 1.6%CVE-2022-39382CRITICALNODE_ENV in Keystone defaults to development with esbuildEPSS 1.6%CVE-2021-21263HIGHQuery Binding Exploitation in LaravelEPSS 1.6%CVE-2022-20693MEDIUMCisco IOS XE Software Web UI API Injection VulnerabilityEPSS 1.6%CVE-2020-7489CRITICALA CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') vulnerability exists on EcoStruEPSS 1.6%CVE-2026-27727HIGHmchange-commons-java: Remote Code Execution via JNDI Reference ResolutionEPSS 1.6%CVE-2022-31777MEDIUMApache Spark XSS vulnerability in log viewer UI JavascriptEPSS 1.6%CVE-2021-41170CRITICALEvaluation of closures can lead to execution of methods & functions in current program scopeEPSS 1.6%CVE-2026-11448MEDIUMGL.iNet GL-MT3000 Minidlna Service rpc realpath command injectionEPSS 1.6%CVE-2020-7475—A CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection'), reflective DLL, vulnerability EPSS 1.6%CVE-2026-11450MEDIUMGL.iNet GL-MT3000 Path Normalization dlopen command injectionEPSS 1.6%