Falhas do tipo CWE-74

4.743 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2024-11965MEDIUMPHPGurukul Complaint Management system reset-password.php sql injectionEPSS 0.9%CVE-2023-51446MEDIUMGLPI LDAP Injection during authenticationEPSS 0.9%CVE-2024-12497MEDIUM1000 Projects Attendance Tracking Management System check_admin_login.php sql injectionEPSS 0.9%CVE-2022-35735HIGHBIG-IP monitor configuration vulnerability CVE-2022-35735EPSS 0.9%CVE-2026-41109HIGHGitHub Copilot and Visual Studio Code Security Feature Bypass VulnerabilityEPSS 0.9%CVE-2024-11956MEDIUMPimcore customer-data-framework list sql injectionEPSS 0.9%CVE-2020-15111MEDIUMCRLF vulnerability in FiberEPSS 0.9%CVE-2023-45303HIGHThingsBoard before 3.5 allows Server-Side Template Injection if users are allowed to modify an email template, because Apache FreeMarker supEPSS 0.9%CVE-2024-34919CRITICALAn arbitrary file upload vulnerability in the component \modstudent\controller.php of Pisay Online E-Learning System using PHP/MySQL v1.0 alEPSS 0.9%CVE-2024-11649MEDIUM1000 Projects Beauty Parlour Management System search-appointment.php sql injectionEPSS 0.9%CVE-2024-11590MEDIUM1000 Projects Bookstore Management System forget_password_process.php sql injectionEPSS 0.9%CVE-2024-11648MEDIUM1000 Projects Beauty Parlour Management System add-customer.php sql injectionEPSS 0.9%CVE-2024-11647MEDIUM1000 Projects Beauty Parlour Management System view-appointment.php sql injectionEPSS 0.9%CVE-2023-26261CRITICALIn UBIKA WAAP Gateway/Cloud through 6.10, a blind XPath injection leads to an authentication bypass by stealing the session of another conneEPSS 0.8%CVE-2025-4458MEDIUMcode-projects Patient Record Management System edit_upatient.php sql injectionEPSS 0.8%CVE-2025-4459MEDIUMcode-projects Patient Record Management System fecalysis_form.php sql injectionEPSS 0.8%CVE-2020-26260MEDIUMServer Side Request Forgery in BookStackEPSS 0.8%CVE-2025-5579MEDIUMPHPGurukul Dairy Farm Shop Management System search-product.php sql injectionEPSS 0.8%CVE-2021-29502HIGHRemote code execution in the WarnSystem module of Laggrons-Dumb-CogsEPSS 0.8%CVE-2024-23648HIGHPimcore Admin Classic Bundle host header injection in the password resetEPSS 0.8%