Falhas do tipo CWE-74

4.743 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2023-27479CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code in org.xwiki.platform:xwiki-platform-panels-uiEPSS 1.1%CVE-2023-29518CRITICALCode injection from view right using Invitation.InvitationCommon in xwiki-platformEPSS 1.1%CVE-2023-29526CRITICALAsync and display macro allow displaying and interacting with any document in restricted modeEPSS 1.1%CVE-2022-46162HIGHDiscourse BBCode plugin vulnerable to arbitrary CSS injectionEPSS 1.1%CVE-2025-5146MEDIUMNetcore NBR200V2 HTTP Header routerd passwd_set command injectionEPSS 1.1%CVE-2025-5147MEDIUMNetcore NBR1005GPEV2/NBR200V2/B6V2 network_tools tools_ping command injectionEPSS 1.1%CVE-2025-5145MEDIUMNetcore POWER13 Query String cgi-bin command injectionEPSS 1.1%CVE-2023-29521HIGHCode injection from account/view through VFS Tree macro in xwiki-platformEPSS 1.1%CVE-2022-45048HIGHApache Ranger: code execution vulnerability in policy expressionsEPSS 1.1%CVE-2021-41437MEDIUMAn HTTP response splitting attack in web application in ASUS RT-AX88U before v3.0.0.4.388.20558 allows an attacker to craft a specific URL tEPSS 1.1%CVE-2022-40958MEDIUMBy injecting a cookie with certain special characters, an attacker on a shared subdomain which is not a secure context could set and thus ovEPSS 1.1%CVE-2022-45801—Apache StreamPark (incubating): LDAP Injection VulnerabilityEPSS 1.1%CVE-2026-11449MEDIUMGL.iNet GL-MT3000 LuCI JSON-RPC rpc rpc_sys command injectionEPSS 1.1%CVE-2019-3562—A remote web page could inject arbitrary HTML code into the Oculus Browser UI, allowing an attacker to spoof UI and potentially execute codeEPSS 1.1%CVE-2021-43852HIGHJavaScript Prototype Pollution in oro/platformEPSS 1.1%CVE-2025-0944MEDIUMitsourcecode Tailoring Management System customerview.php sql injectionEPSS 1.1%CVE-2024-21742MEDIUMApache James Mime4J: Mime4J DOM header injectionEPSS 1.1%CVE-2023-29527CRITICALCode injection from account through AWM view sheet in xwiki platformEPSS 1.1%CVE-2024-11954MEDIUMPimcore Search Document cross site scriptingEPSS 1.1%CVE-2026-4199MEDIUMbazinga012 mcp_code_executor index.ts installDependencies command injectionEPSS 1.1%