Falhas do tipo CWE-77

2.808 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2024-7436MEDIUMD-Link DI-8100 msp_info.htm msp_info_htm command injectionEPSS 7.8%CVE-2025-1616MEDIUMFiberHome AN5506-01A ONU GPON Diagnosis os command injectionEPSS 7.7%CVE-2025-5620MEDIUMD-Link DIR-816 setipsec_config os command injectionEPSS 7.7%CVE-2024-11772CRITICALCommand injection in the admin web console of Ivanti CSA before version 5.0.3 allows a remote authenticated attacker with admin privileges tEPSS 7.7%CVE-2025-15132MEDIUMZSPACE Z4Pro+ HTTP POST Request open zfilev2_api_open command injectionEPSS 7.6%CVE-2025-15131MEDIUMZSPACE Z4Pro+ HTTP POST Request status zfilev2_api_SafeStatus command injectionEPSS 7.6%CVE-2026-42824MEDIUMM365 Copilot Information Disclosure VulnerabilityEPSS 7.6%CVE-2023-2377HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 7.6%CVE-2023-2373HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 7.6%CVE-2023-2378HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 7.6%CVE-2023-2376HIGHUbiquiti EdgeRouter X Web Management command injectionEPSS 7.6%CVE-2025-43953HIGHIn 2wcom IP-4c 2.16, the web interface allows admin and manager users to execute arbitrary code as root via a ping or traceroute field on thEPSS 7.6%CVE-2024-2991MEDIUMTenda FH1203 WriteFacMac formWriteFacMac command injectionEPSS 7.6%CVE-2025-55591CRITICALTOTOLINK-A3002R v4.0.0-B20230531.1404 was discovered to contain a command injection vulnerability in the devicemac parameter in the formMapDEPSS 7.6%CVE-2025-9603MEDIUMTelesquare TLR-2005KSH internet.cgi command injectionEPSS 7.6%CVE-2026-2952MEDIUMVaelsys HTTP POST Request tree_server.php os command injectionEPSS 7.5%CVE-2024-8212MEDIUMD-Link DNS-1550-04 hd_config.cgi cgi_FMT_R12R5_2nd_DiskMGR command injectionEPSS 7.5%CVE-2024-8210MEDIUMD-Link DNS-1550-04 hd_config.cgi sprintf command injectionEPSS 7.5%CVE-2025-5621MEDIUMD-Link DIR-816 qosClassifier os command injectionEPSS 7.5%CVE-2025-10634MEDIUMD-Link DIR-823X Environment Variable goahead sub_412E7C command injectionEPSS 7.4%