Falhas do tipo CWE-77

2.808 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2024-33112HIGHD-Link DIR-845L router v1.01KRb03 and before is vulnerable to Command injection via the hnap_main()func.EPSS 6.5%CVE-2024-29269HIGHAn issue discovered in Telesquare TLR-2005Ksh 1.0.0 and 1.1.4 allows attackers to run arbitrary system commands via the Cmd parameter.EPSS 6.3%CVE-2014-9188—Schneider Electric ProClima Command InjectionEPSS 6.3%CVE-2026-5339MEDIUMTenda G103 Setting gpon.lua action_set_net_settings command injectionEPSS 6.3%CVE-2025-13562MEDIUMD-Link DIR-852 gena.cgi command injectionEPSS 6.2%CVE-2024-7907MEDIUMTOTOLINK X6000R cstecgi.cgi setSyslogCfg command injectionEPSS 6.2%CVE-2026-2944MEDIUMTosei Online Store Management System ネット店舗管理システム HTTP POST Request monitor.php system os command injectionEPSS 6.2%CVE-2022-2323—Improper neutralization of special elements used in a user input allows an authenticated malicious user to perform remote code execution in EPSS 6.2%CVE-2025-10364CRITICALUnauthenticated Arbitrary Command Injection in Evertz SDVNEPSS 6.2%CVE-2025-15500CRITICALSangfor Operation and Maintenance Management System HTTP POST Request getHis os command injectionEPSS 6.2%CVE-2025-3816MEDIUMwestboy CicadasCMS Scheduled Task save os command injectionEPSS 6.2%CVE-2025-15502MEDIUMSangfor Operation and Maintenance Management System session SessionController os command injectionEPSS 6.1%CVE-2018-0427—A vulnerability in the CronJob scheduler API of Cisco Digital Network Architecture (DNA) Center could allow an authenticated, remote attackeEPSS 6.1%CVE-2018-3779—active-support ruby gem 5.2.0 could allow a remote attacker to execute arbitrary code on the system, caused by containing a malicious backdoEPSS 6.1%CVE-2025-10814MEDIUMD-Link DIR-823X goahead command injectionEPSS 6.1%CVE-2026-2227MEDIUMD-Link DCS-931L setSystemAdmin doSystem command injectionEPSS 6.1%CVE-2025-10358MEDIUMWavlink WL-WN578W2 wireless.cgi sub_404850 os command injectionEPSS 6.1%CVE-2025-10359MEDIUMWavlink WL-WN578W2 wireless.cgi sub_404DBC os command injectionEPSS 6.1%CVE-2026-3101MEDIUMIntelbras TIP 635G Ping os command injectionEPSS 5.9%CVE-2025-0528HIGHTenda AC8/AC10/AC18 HTTP Request telnet command injectionEPSS 5.9%