Falhas do tipo CWE-77

2.808 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2025-11303MEDIUMBelkin F9K1015 mp command injectionEPSS 6.8%CVE-2025-11292MEDIUMBelkin F9K1015 formBSSetSitesurvey command injectionEPSS 6.8%CVE-2025-10325MEDIUMWavlink WL-WN578W2 login.cgi sub_401BA4 command injectionEPSS 6.8%CVE-2024-8127MEDIUMD-Link DNS-1550-04 HTTP POST Request webfile_mgr.cgi cgi_unzip command injectionEPSS 6.7%CVE-2025-9580MEDIUMLB-LINK BL-X26 HTTP set_blacklist os command injectionEPSS 6.7%CVE-2025-65363HIGHAuthenticated append-style command-injection Ruijie APs (AP_RGOS 11.1.x) allows an authenticated web user to execute appended shell expressiEPSS 6.7%CVE-2025-4453MEDIUMD-Link DIR-619L formSysCmd command injectionEPSS 6.7%CVE-2025-4454MEDIUMD-Link DIR-619L wake_on_lan command injectionEPSS 6.7%CVE-2026-2188HIGHUTT 进取 521G formPdbUpConfig sub_446B18 os command injectionEPSS 6.7%CVE-2025-60687MEDIUMAn unauthenticated command injection vulnerability exists in the ToToLink LR1200GB Router firmware V9.1.0u.6619_B20230130 within the cstecgiEPSS 6.6%CVE-2025-5000MEDIUMLinksys FGW3000-AH/FGW3000-HK HTTP POST Request sysconf.cgi control_panel_sw command injectionEPSS 6.6%CVE-2026-46368HIGHluci-app-https-dns-proxy Authenticated Command Injection via setInitActionEPSS 6.6%CVE-2025-34267HIGHFlowise Authenticated Command Execution and Sandbox Bypass via Puppeteer & Playwright PackagesEPSS 6.6%CVE-2025-10959MEDIUMWavlink NU516U1 firewall.cgi sub_401778 command injectionEPSS 6.6%CVE-2023-0640HIGHTRENDnet TEW-652BRP Web Interface ping.ccp command injectionEPSS 6.5%CVE-2025-8818MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 setLan setDFSSetting os command injectionEPSS 6.5%CVE-2025-6335MEDIUMDedeCMS Template dedetag.class.php command injectionEPSS 6.5%CVE-2026-8192MEDIUMWavlink NU516U1 adm.cgi wzdap os command injectionEPSS 6.5%CVE-2026-8189MEDIUMWavlink NU516U1 adm.cgi wzdrepeater os command injectionEPSS 6.5%CVE-2023-32073HIGHAVideo command injection vulnerabilityEPSS 6.5%