Falhas do tipo CWE-74

4.739 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-42835HIGHMicrosoft Teams for Android Information Disclosure VulnerabilityEPSS 1.2%CVE-2021-24144—Contact Form 7 Database Addon < 1.2.5.6 - CSV InjectionEPSS 1.2%CVE-2024-21623CRITICALArbitrary Expression Injection in github workflow leads to Command execution & leaking secretsEPSS 1.2%CVE-2026-11406MEDIUMGL.iNet MT3000 OpenVPN Client Import Workflow ovpnclient.sh command injectionEPSS 1.2%CVE-2023-43667HIGHApache InLong: Log Injection in Global functionsEPSS 1.2%CVE-2026-16133LOWLiuMengxuan04 MiniCode mcp.ts child_process.spawn command injectionEPSS 1.2%CVE-2026-61732CRITICALDecepticon: Role-boundary forgery via ChatML special-token literals in web crawl output composed into LLM contextEPSS 1.2%CVE-2026-19039MEDIUMKino-Kafkaesque ssh-mcp-server SSH index.ts ssh_exec command injectionEPSS 1.2%CVE-2026-12223MEDIUMYealink SIP-T46U Web FastCGI Service tftpuploadiperf mod_webd.TFTPUploadIperf command injectionEPSS 1.2%CVE-2019-25150HIGHEmail Templates <= 1.3 - HTML InjectionEPSS 1.2%CVE-2025-4850MEDIUMTOTOLINK N300RH cstecgi.cgi setUnloadUserData command injectionEPSS 1.2%CVE-2025-4729MEDIUMTOTOLINK A3002R/A3002RU HTTP POST Request formMapDelDevice command injectionEPSS 1.2%CVE-2024-29027CRITICALParse Server crash and RCE via invalid Cloud Function or Cloud Job nameEPSS 1.2%CVE-2026-13501MEDIUMantlr ANTLR4 gofmt GoTarget.java GoTarget command injectionEPSS 1.2%CVE-2026-7039HIGHtufantunc ssh-mcp index.ts shell.write command injectionEPSS 1.2%CVE-2025-4747MEDIUMBohua NetDragon Firewall ip_status.php command injectionEPSS 1.2%CVE-2023-25141HIGHJNDI injection into Apache sling-org-apache-sling-jcr-baseEPSS 1.2%CVE-2026-94139MEDIUMChengdu Feiyuxing Technology Feiyu Star Router Cookie send_order.cgi command injectionEPSS 1.2%CVE-2020-15140HIGHRemote Code Execution in Red Discord BotEPSS 1.2%CVE-2023-27479CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code in org.xwiki.platform:xwiki-platform-panels-uiEPSS 1.1%