Falhas do tipo CWE-77

2.809 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2025-5763MEDIUMTenda CP3 apollo sub_F3C8C command injectionEPSS 4.7%CVE-2025-6899MEDIUMD-Link DI-7300G+/DI-8200G msp_info.htm os command injectionEPSS 4.7%CVE-2026-3485CRITICALD-Link DIR-868L SSDP Service sub_1BF84 os command injectionEPSS 4.7%CVE-2026-1505HIGHD-Link DIR-615 URL Filter set_temp_nodes.php os command injectionEPSS 4.7%CVE-2026-8271MEDIUMD-Link DNS-320 network_mgr.cgi cgi_upnp_edit os command injectionEPSS 4.6%CVE-2025-11335MEDIUMD-Link DI-7100G C1 jhttpd msp_info.htm sub_46409C command injectionEPSS 4.6%CVE-2026-2151HIGHD-Link DIR-615 DMZ Host Feature adv_firewall.php os command injectionEPSS 4.6%CVE-2026-2063MEDIUMD-Link DIR-823X Web Management set_ac_server os command injectionEPSS 4.6%CVE-2026-1064MEDIUMbastillion-io Bastillion System Management SystemKtrl.java command injectionEPSS 4.6%CVE-2026-1063MEDIUMbastillion-io Bastillion Public Key Management System AuthKeysKtrl.java command injectionEPSS 4.6%CVE-2025-10689MEDIUMD-Link DIR-645 soap.cgi soapcgi_main command injectionEPSS 4.6%CVE-2025-15357MEDIUMD-Link DI-7400G+ msp_info.htm command injectionEPSS 4.6%CVE-2026-8263MEDIUMTenda AC6 httpd WifiExtraSet fromSetWirelessRepeat os command injectionEPSS 4.6%CVE-2026-8273MEDIUMD-Link DNS-320 system_mgr.cgi cgi_merge_user os command injectionEPSS 4.5%CVE-2025-10020HIGHCommand InjectionEPSS 4.5%CVE-2025-2717MEDIUMD-Link DIR-823X HTTP POST Request diag_nslookup sub_41710C os command injectionEPSS 4.5%CVE-2022-1509CRITICALCommand Injection Vulnerability in hestiacp/hestiacpEPSS 4.5%CVE-2026-5352MEDIUMTrendnet TEW-657BRM setup.cgi edit os command injectionEPSS 4.5%CVE-2026-2085HIGHD-Link DWR-M921 USSD Configuration Endpoint formUSSDSetup sub_419F20 command injectionEPSS 4.5%CVE-2018-9866CRITICALA vulnerability in lack of validation of user-supplied parameters pass to XML-RPC calls on SonicWall Global Management System (GMS) virtual EPSS 4.5%