Falhas do tipo CWE-74

4.743 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-4199MEDIUMbazinga012 mcp_code_executor index.ts installDependencies command injectionEPSS 1.1%CVE-2026-19279MEDIUMMIMICLab mcp-pdf-vision index.ts load_pdf command injectionEPSS 1.1%CVE-2026-19329MEDIUMandreahaku codex_mcp ask MCP Tool codex-process-simple.ts command injectionEPSS 1.1%CVE-2026-4198MEDIUMhypermodel-labs mcp-server-auto-commit index.ts getGitChanges command injectionEPSS 1.1%CVE-2026-19047MEDIUMNocteDefensor LudusMCP ludus_cli_execute cliWrapper.ts executeCommand command injectionEPSS 1.1%CVE-2026-19284MEDIUMMauricioMilano coder-api Projects Endpoint projects.ts createProject command injectionEPSS 1.1%CVE-2026-19333MEDIUMNightTrek Supabase-MCP generate_types command injectionEPSS 1.1%CVE-2026-19045MEDIUMNocteDefensor LudusMCP get_credential_from_user secretDialog.ts SecretDialog.showSecretDialog command injectionEPSS 1.1%CVE-2026-19332MEDIUMNellyW8 MCP4EDA run_openlane/view_waveform command injectionEPSS 1.1%CVE-2026-5833MEDIUMawwaiid mcp-server-taskwarrior index.ts server.setRequestHandler command injectionEPSS 1.1%CVE-2026-19334MEDIUMNightTrek Ollama-mcp index.ts command injectionEPSS 1.1%CVE-2026-19044MEDIUMLeeSinLiang godot-mcp create_scene/add_node index.ts executeOperation command injectionEPSS 1.1%CVE-2025-27511HIGHGeoServer DB2 DataStore Extension has a JNDI Vulnerability via Store ConnectionEPSS 1.1%CVE-2026-11447MEDIUMGL.iNet GL-MT3000 MTK Backend iwinfo.so iwinfo_backend command injectionEPSS 1.1%CVE-2026-10166MEDIUMEdimax BR-6478AC POST Request formWlbasic command injectionEPSS 1.1%CVE-2026-10182MEDIUMTRENDnet TEW-432BRP formWlanSetup command injectionEPSS 1.1%CVE-2024-53263HIGHGit LFS permits exfiltration of credentials via crafted HTTP URLsEPSS 1.1%CVE-2019-11275LOWCSV Injection in usage report downloaded from Pivotal Application ManagerEPSS 1.1%CVE-2026-94031MEDIUM0-Gaurav-0 nexus-mcp nexus_reauth MCP tool browser.ts child_process.exec command injectionEPSS 1.1%CVE-2026-10550MEDIUMelunez eladmin Application Deployment App.java command injectionEPSS 1.1%