Falhas do tipo CWE-77

2.808 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-8230MEDIUMWavlink NU516U1 login.cgi sys_login1 os command injectionEPSS 5.9%CVE-2026-8229MEDIUMWavlink NU516U1 wireless.cgi WifiBasic os command injectionEPSS 5.9%CVE-2026-8227MEDIUMWavlink NU516U1 adm.cgi wzdapMesh os command injectionEPSS 5.9%CVE-2026-2142HIGHD-Link DIR-823X set_qos sub_420688 os command injectionEPSS 5.9%CVE-2026-2163MEDIUMD-Link DIR-600 ssdp.cgi command injectionEPSS 5.9%CVE-2024-39762CRITICALMultiple OS command injection vulnerabilities exist in the internet.cgi set_add_routing() functionality of Wavlink AC3000 M33A8.V5030.210505EPSS 5.9%CVE-2025-15499HIGHSangfor Operation and Maintenance Management System VersionController.java uploadCN os command injectionEPSS 5.8%CVE-2018-0341—A vulnerability in the web-based UI of Cisco IP Phone 6800, 7800, and 8800 Series with Multiplatform Firmware before 11.2(1) could allow an EPSS 5.8%CVE-2026-1448HIGHD-Link DIR-615 Web Management wiz_policy_3_machine.php os command injectionEPSS 5.8%CVE-2026-8228MEDIUMWavlink NU516U1 wireless.cgi advance os command injectionEPSS 5.7%CVE-2025-4445MEDIUMD-Link DIR-605L wake_on_lan command injectionEPSS 5.7%CVE-2025-9149MEDIUMWavlink WL-NU516U1 wireless.cgi sub_4032E4 command injectionEPSS 5.6%CVE-2019-15588—There is an OS Command Injection in Nexus Repository Manager <= 2.14.14 (bypass CVE-2019-5475) that could allow an attacker a Remote Code ExEPSS 5.6%CVE-2026-20186CRITICALCisco Identity Services Engine Multiple Authenticated Remote Code Execution VulnerabilityEPSS 5.6%CVE-2026-8272MEDIUMD-Link DNS-320 webfile_mgr.cgi chown os command injectionEPSS 5.6%CVE-2026-1066MEDIUMkalcaddle kodbox Compression zip command injectionEPSS 5.6%CVE-2024-41319HIGHTOTOLINK A6000R V1.0.1-B20201211.2000 was discovered to contain a command injection vulnerability via the cmd parameter in the webcmd functiEPSS 5.5%CVE-2026-13545HIGHD-Link DCS-935L POST Parameter setconf.cgi sub_400E40 os command injectionEPSS 5.5%CVE-2026-4543MEDIUMWavlink WL-WN578W2 POST Request firewall.cgi command injectionEPSS 5.5%CVE-2022-26007CRITICALAn OS command injection vulnerability exists in the console factory functionality of InHand Networks InRouter302 V3.5.4. A specially-craftedEPSS 5.5%