Falhas do tipo CWE-74

5.078 resultados

Injeção de código

Ocorre quando dados não confiáveis (entrada do usuário) são incorporados diretamente em comandos ou consultas executadas pelo sistema, sem validação ou escape. Um atacante consegue injetar código malicioso (SQL, script, comando) que será interpretado e executado com os privilégios da aplicação.

Exemplo

Uma busca por usuário que concatena a entrada diretamente em SQL: `SELECT * FROM users WHERE name = '` + input + `'`. Se o usuário digitar `' OR '1'='1`, a consulta retorna todos os registros. Com entrada maliciosa como `'; DROP TABLE users; --`, o banco é destruído.

Como mitigar

Use prepared statements ou queries parametrizadas (placeholders) para separar dados de código. Valide e sanitize todas as entradas, aplicando listas de permissão quando possível. Implemente o princípio do menor privilégio: a conta de banco de dados da aplicação deve ter apenas permissões necessárias.

CVE-2025-5000MEDIUMLinksys FGW3000-AH/FGW3000-HK HTTP POST Request sysconf.cgi control_panel_sw command injectionEPSS 6.9%CVE-2023-2374HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 6.9%CVE-2026-1192MEDIUMTosei Online Store Management System ネット店舗管理システム imode_alldata.php command injectionEPSS 6.9%CVE-2026-2227MEDIUMD-Link DCS-931L setSystemAdmin doSystem command injectionEPSS 6.8%CVE-2025-10963MEDIUMWavlink NU516U1 firewall.cgi sub_4016F0 command injectionEPSS 6.8%CVE-2025-10962MEDIUMWavlink NU516U1 SetName wireless.cgi sub_403198 command injectionEPSS 6.8%CVE-2025-10964MEDIUMWavlink NU516U1 firewall.cgi sub_401B30 command injectionEPSS 6.8%CVE-2025-11303MEDIUMBelkin F9K1015 mp command injectionEPSS 6.8%CVE-2025-11292MEDIUMBelkin F9K1015 formBSSetSitesurvey command injectionEPSS 6.8%CVE-2025-11298MEDIUMBelkin F9K1015 formSetWanStatic command injectionEPSS 6.8%CVE-2026-4209MEDIUMD-Link DNS-1550-04 account_mgr.cgi cgi_chg_admin_pw command injectionEPSS 6.8%CVE-2025-10324MEDIUMWavlink WL-WN578W2 firewall.cgi sub_401C5C command injectionEPSS 6.7%CVE-2025-10323MEDIUMWavlink WL-WN578W2 wizard_rep.shtml sub_409184 command injectionEPSS 6.7%CVE-2026-2163MEDIUMD-Link DIR-600 ssdp.cgi command injectionEPSS 6.6%CVE-2025-6335MEDIUMDedeCMS Template dedetag.class.php command injectionEPSS 6.6%CVE-2025-10959MEDIUMWavlink NU516U1 firewall.cgi sub_401778 command injectionEPSS 6.6%CVE-2026-5339MEDIUMTenda G103 Setting gpon.lua action_set_net_settings command injectionEPSS 6.5%CVE-2024-39785CRITICALMultiple command execution vulnerabilities exist in the nas.cgi add_dir() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crEPSS 6.4%CVE-2024-39784CRITICALMultiple command execution vulnerabilities exist in the nas.cgi add_dir() functionality of Wavlink AC3000 M33A8.V5030.210505. A specially crEPSS 6.4%CVE-2025-10634MEDIUMD-Link DIR-823X Environment Variable goahead sub_412E7C command injectionEPSS 6.3%