Falhas do tipo CWE-74

4.739 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-14707CRITICALShiguangwu sgwbox N3 DOCKER Feature http_eshell_server command injectionEPSS 18.6%CVE-2026-2000MEDIUMDCN DCME-320 Web Management Backend bridge_cfg.php apply_config command injectionEPSS 18.1%CVE-2024-23333HIGHLAM vulnerable to Authenticated Remote Code ExecutionEPSS 17.9%CVE-2024-38366CRITICALCoacoaPods trunk RCE in email verification system rfc-822EPSS 17.8%CVE-2025-4076MEDIUMLB-LINK BL-AC3600 Password lighttpd.cgi easy_uci_set_option_string_0 command injectionEPSS 17.7%CVE-2025-11331MEDIUMIdeaCMS Website Name Config.php command injectionEPSS 17.5%CVE-2025-20284MEDIUMCisco Identity Services Engine Authenticated Remote Code Execution VulnerabilityEPSS 17.4%CVE-2026-1419MEDIUMD-Link DCS700l Web Form setDayNightMode command injectionEPSS 17.2%CVE-2023-20858HIGHVMware Carbon Black App Control 8.7.x prior to 8.7.8, 8.8.x prior to 8.8.6, and 8.9.x.prior to 8.9.4 contain an injection vulnerability. A mEPSS 16.9%CVE-2025-14705CRITICALShiguangwu sgwbox N3 SHARESERVER Feature command injectionEPSS 16.5%CVE-2023-36812CRITICALRemote Code Execution in OpenTSDBEPSS 16.5%CVE-2025-20265CRITICALCisco Secure Firewall Management Center Software Radius Remote Code Execution VulnerabilityEPSS 15.8%CVE-2026-1125MEDIUMD-Link DIR-823X set_wifidog_settings sub_412E7C command injectionEPSS 15.7%CVE-2024-26020CRITICALAn arbitrary script execution vulnerability exists in the MPV functionality of Ankitects Anki 24.04. A specially crafted flashcard can lead EPSS 15.2%CVE-2025-4357MEDIUMTenda RX3 telnet command injectionEPSS 15.0%CVE-2025-3983MEDIUMAMTT Hotel Broadband Operation System nlog_down.php command injectionEPSS 14.8%CVE-2025-9090MEDIUMTenda AC20 Telnet Service telnet websFormDefine command injectionEPSS 14.7%CVE-2023-7039MEDIUMByzoro S210 importexport.php injectionEPSS 14.2%CVE-2026-2535MEDIUMComfast CF-N1 V2 mbox-config sub_44AB9C command injectionEPSS 14.0%CVE-2026-2534MEDIUMComfast CF-N1 V2 mbox-config sub_44AC4C command injectionEPSS 13.5%