Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2026-3662MEDIUMWavlink WL-NU516U1 adm.cgi usb_p910 command injectionEPSS 20.3%CVE-2021-41163CRITICALRCE via malicious SNS subscription payloadEPSS 19.8%CVE-2025-4076MEDIUMLB-LINK BL-AC3600 Password lighttpd.cgi easy_uci_set_option_string_0 command injectionEPSS 19.8%CVE-2026-3661MEDIUMWavlink WL-NU516U1 adm.cgi ota_new_upgrade command injectionEPSS 19.7%CVE-2025-13442MEDIUMUTT 进取 750W formPdbUpConfig system command injectionEPSS 19.5%CVE-2026-2000MEDIUMDCN DCME-320 Web Management Backend bridge_cfg.php apply_config command injectionEPSS 19.5%CVE-2026-4197MEDIUMD-Link DNS-1550-04 download_mgr.cgi RSS_Item_List command injectionEPSS 19.4%CVE-2026-2823MEDIUMComfast CF-E7 webmggnt mbox-config sub_41ACCC command injectionEPSS 18.8%CVE-2025-14706CRITICALShiguangwu sgwbox N3 NETREBOOT http_eshell_server command injectionEPSS 18.6%CVE-2025-14707CRITICALShiguangwu sgwbox N3 DOCKER Feature http_eshell_server command injectionEPSS 18.6%CVE-2025-3983MEDIUMAMTT Hotel Broadband Operation System nlog_down.php command injectionEPSS 17.9%CVE-2024-38366CRITICALCoacoaPods trunk RCE in email verification system rfc-822EPSS 17.8%CVE-2024-23333HIGHLAM vulnerable to Authenticated Remote Code ExecutionEPSS 17.8%CVE-2025-11331MEDIUMIdeaCMS Website Name Config.php command injectionEPSS 17.5%CVE-2026-1419MEDIUMD-Link DCS700l Web Form setDayNightMode command injectionEPSS 17.2%CVE-2026-2824MEDIUMComfast CF-E7 webmggnt mbox-config sub_441CF4 command injectionEPSS 17.1%CVE-2026-3798MEDIUMComfast CF-AC100 Request Path mbox-config sub_44AC14 command injectionEPSS 17.0%CVE-2025-9090MEDIUMTenda AC20 Telnet Service telnet websFormDefine command injectionEPSS 16.9%CVE-2023-20858HIGHVMware Carbon Black App Control 8.7.x prior to 8.7.8, 8.8.x prior to 8.8.6, and 8.9.x.prior to 8.9.4 contain an injection vulnerability. A mEPSS 16.9%CVE-2026-31816CRITICALBudibase Universal Auth Bypass via Webhook Query Param InjectionEPSS 16.7%