Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-15048MEDIUMTenda WH450 HTTP Request CheckTools command injectionEPSS 12.3%CVE-2025-14107HIGHZSPACE Q2C NAS HTTP POST Request status zfilev2_api.SafeStatus command injectionEPSS 12.2%CVE-2025-14106HIGHZSPACE Q2C NAS HTTP POST Request close zfilev2_api.CloseSafe command injectionEPSS 12.1%CVE-2026-0732MEDIUMD-Link DI-8200G upgrade_filter.asp command injectionEPSS 11.7%CVE-2023-4450MEDIUMjeecgboot JimuReport Template injectionEPSS 11.6%CVE-2025-15137HIGHTRENDnet TEW-800MB NTPSyncWithHost.cgi sub_F934  command injectionEPSS 11.4%CVE-2025-3987MEDIUMTOTOLINK N150RT formWsc command injectionEPSS 11.3%CVE-2025-2126MEDIUMJoomlaUX JUX Real Estate GET Parameter realties sql injectionEPSS 11.2%CVE-2025-14884HIGHD-Link DIR-605 Firmware Update Service command injectionEPSS 10.8%CVE-2025-15136HIGHTRENDnet TEW-800MB Management wizardset do_setWizard_asp command injectionEPSS 10.7%CVE-2026-2080HIGHUTT HiPER 810 formUser setSysAdm command injectionEPSS 10.7%CVE-2020-11060HIGHRemote Code Execution in GLPIEPSS 10.7%CVE-2026-2085HIGHD-Link DWR-M921 USSD Configuration Endpoint formUSSDSetup sub_419F20 command injectionEPSS 10.5%CVE-2025-14108HIGHZSPACE Q2C NAS HTTP POST Request open zfilev2_api.OpenSafe command injectionEPSS 10.5%CVE-2025-10628MEDIUMD-Link DIR-852 Web Management hedwig.cgi command injectionEPSS 10.1%CVE-2026-6279CRITICALAvada (Fusion) Builder <= 3.15.2 - Unauthenticated Remote Code Execution via PHP Function Injection via 'render_logics' Shortcode Attribute via Widget AJAX HandlerEPSS 9.9%CVE-2026-4537MEDIUMCudy TR1200 ipsec.lua action_ipsec_conn command injectionEPSS 9.8%CVE-2026-5184MEDIUMTRENDnet TEW-713RE setSysAdm command injectionEPSS 9.6%CVE-2026-2182HIGHUTT 进取 521G setSysAdm doSystem command injectionEPSS 9.6%CVE-2025-13799MEDIUMADSLR NBR1005GPEV2 send_order.cgi ap_macfilter_del command injectionEPSS 9.5%