Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-13800MEDIUMADSLR NBR1005GPEV2 send_order.cgi set_mesh_disconnect command injectionEPSS 9.5%CVE-2026-2527MEDIUMWavlink WL-WN579A3 login.cgi command injectionEPSS 9.4%CVE-2026-2529MEDIUMWavlink WL-WN579A3 wireless.cgi DeleteMac command injectionEPSS 9.4%CVE-2026-0581MEDIUMTenda AC1206 httpd BehaviorManager formBehaviorManager command injectionEPSS 9.4%CVE-2024-21900MEDIUMQTS, QuTS hero, QuTScloudEPSS 9.4%CVE-2025-5502MEDIUMTOTOLINK X15 formMapReboot command injectionEPSS 9.3%CVE-2023-2375HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 9.3%CVE-2025-10401MEDIUMD-Link DIR-823x diag_ping command injectionEPSS 9.2%CVE-2026-2528MEDIUMWavlink WL-WN579A3 wireless.cgi Delete_Mac_list command injectionEPSS 9.2%CVE-2026-2526MEDIUMWavlink WL-WN579A3 wireless.cgi multi_ssid command injectionEPSS 9.2%CVE-2026-2530MEDIUMWavlink WL-WN579A3 wireless.cgi AddMac command injectionEPSS 9.2%CVE-2026-2956MEDIUMqinming99 dst-admin restore revertBackup command injectionEPSS 8.9%CVE-2025-14225MEDIUMD-Link DCS-930L alphapd setSystemAdmin command injectionEPSS 8.9%CVE-2024-34544CRITICALA command injection vulnerability exists in the wireless.cgi AddMac() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crafteEPSS 8.7%CVE-2022-21705HIGHAuthenticated remote code execution in octobercmsEPSS 8.6%CVE-2022-0391HIGHA flaw was found in Python, specifically within the urllib.parse module. This module helps break Uniform Resource Locator (URL) strings intoEPSS 8.5%CVE-2026-5183MEDIUMTRENDnet TEW-713RE addRouting sub_421494 command injectionEPSS 8.5%CVE-2025-2725HIGHH3C Magic BE18000 HTTP POST Request auth command injectionEPSS 8.3%CVE-2025-13306MEDIUMD-Link DWR-M920/DWR-M921/DIR-822K/DIR-825M formDebugDiagnosticRun system command injectionEPSS 8.3%CVE-2022-23614HIGHCode injection in TwigEPSS 8.2%