Falhas do tipo CWE-74

4.743 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2024-11591MEDIUM1000 Projects Beauty Parlour Management System add-services.php sql injectionEPSS 1.0%CVE-2023-48709HIGHiTop vulnerable to potential formula injection in Excel/CSV export fileEPSS 1.0%CVE-2023-1287CRITICALENOVIA Live Collaboration V6R2013xE is affected by an XSL template injection vulnerabilityEPSS 1.0%CVE-2023-25616CRITICALCode Injection vulnerability in SAP Business Objects Business Intelligence Platform (CMC)EPSS 0.9%CVE-2024-3366LOWXuxueli xxl-job Template JdkSerializeTool.java deserialize injectionEPSS 0.9%CVE-2020-36618MEDIUMFurqan node-whois index.coffee prototype pollutionEPSS 0.9%CVE-2023-47119MEDIUMHTML injection in oneboxed linksEPSS 0.9%CVE-2021-38395CRITICALHoneywell Experion PKS and ACE Controllers InjectionEPSS 0.9%CVE-2023-37473HIGHLimited code execution in zenstruck/collectionsEPSS 0.9%CVE-2026-11455LOWFoundationAgents MetaGPT common.py check_cmd_exists command injectionEPSS 0.9%CVE-2022-41878HIGHParse Server Prototype pollution and Injection via Cloud Code Webhooks or Cloud Code TriggersEPSS 0.9%CVE-2024-10844MEDIUM1000 Projects Bookstore Management System search.php sql injectionEPSS 0.9%CVE-2024-10845MEDIUM1000 Projects Bookstore Management System book_detail.php sql injectionEPSS 0.9%CVE-2023-51939HIGHAn issue in the cp_bbs_sig function in relic/src/cp/relic_cp_bbs.c of Relic relic-toolkit 0.6.0 allows a remote attacker to obtain sensitiveEPSS 0.9%CVE-2025-5298MEDIUMCampcodes Online Hospital Management System betweendates-detailsreports.php sql injectionEPSS 0.9%CVE-2026-11487MEDIUMNeovim View Branch secure.lua M.read command injectionEPSS 0.9%CVE-2026-47644MEDIUMCopilot Chat (Microsoft Edge) Information Disclosure VulnerabilityEPSS 0.9%CVE-2021-21313MEDIUMXSS on tabsEPSS 0.9%CVE-2025-4466MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 0.9%CVE-2025-4464MEDIUMitsourcecode Gym Management System ajax.php sql injectionEPSS 0.9%