Falhas do tipo CWE-77

2.808 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-8188MEDIUMWavlink NU516U1 adm.cgi change_wifi_password os command injectionEPSS 7.3%CVE-2023-51835MEDIUMAn issue in TRENDnet TEW-822DRE v.1.03B02 allows a local attacker to execute arbitrary code via the parameters ipv4_ping in the /boafrm/formEPSS 7.3%CVE-2025-5695MEDIUMTeledyne FLIR AX8 Backend subscriptions.php subscribe_to_alarm command injectionEPSS 7.3%CVE-2025-14648MEDIUMDedeBIZ catalog_add.php command injectionEPSS 7.3%CVE-2025-2701MEDIUMAMTT Hotel Broadband Operation System port_setup.php popen os command injectionEPSS 7.3%CVE-2020-15642HIGHThis vulnerability allows remote attackers to execute arbitrary code on affected installations of installations of Marvell QConvergeConsole EPSS 7.2%CVE-2026-8190MEDIUMWavlink NU516U1 adm.cgi wan os command injectionEPSS 7.2%CVE-2026-8191MEDIUMWavlink NU516U1 adm.cgi wifi_region os command injectionEPSS 7.2%CVE-2024-8213MEDIUMD-Link DNS-1550-04 hd_config.cgi cgi_FMT_R12R5_1st_DiskMGR command injectionEPSS 7.2%CVE-2025-4999MEDIUMLinksys FGW3000-AH/FGW3000-HK HTTP POST Request sysconf.cgi sub_4153FC command injectionEPSS 7.1%CVE-2024-51027MEDIUMRuijie NBR800G gateway NBR_RGOS_11.1(6)B4P9 is vulnerable to command execution in /itbox_pi/networksafe.php via the province parameter.EPSS 7.1%CVE-2025-13797MEDIUMADSLR B-QE2W401 send_order.cgi parameterdel_swifimac command injectionEPSS 7.1%CVE-2025-13798MEDIUMADSLR NBR1005GPEV2 send_order.cgi ap_macfilter_add command injectionEPSS 7.1%CVE-2025-10326MEDIUMMiczFlor RPi-Jukebox-RFID single.php os command injectionEPSS 7.1%CVE-2026-1324HIGHSangfor Operation and Maintenance Management System SSH Protocol session SessionController os command injectionEPSS 7.1%CVE-2025-12296MEDIUMD-Link DAP-2695 Firmware Update sub_4174B0 os command injectionEPSS 7.0%CVE-2020-14505—Advantech iView, versions 5.6 and prior, has an improper neutralization of special elements used in a command (“command injection”) vulnerabEPSS 7.0%CVE-2025-15501CRITICALSangfor Operation and Maintenance Management System getCmd WriterHandle.getCmd os command injectionEPSS 7.0%CVE-2023-2647MEDIUMWeaver E-Office File Upload utility_all.php command injectionEPSS 7.0%CVE-2018-16462—A command injection vulnerability in the apex-publish-static-files npm module version <2.0.1 which allows arbitrary shell command execution EPSS 7.0%