Falhas do tipo CWE-77

2.809 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-1412MEDIUMSangfor Operation and Maintenance Security Management System HTTP POST Request get_clip_img command injectionEPSS 4.3%CVE-2019-1624HIGHCisco SD-WAN Solution Command Injection VulnerabilityEPSS 4.3%CVE-2025-6896MEDIUMD-Link DI-7300G+ wget_test.asp os command injectionEPSS 4.3%CVE-2022-4364MEDIUMTeledyne FLIR AX8 Web Service palette.php command injectionEPSS 4.3%CVE-2025-11491MEDIUMwonderwhy-er DesktopCommanderMCP command-manager.ts CommandManager os command injectionEPSS 4.3%CVE-2025-9223HIGHCommand InjectionEPSS 4.2%CVE-2026-10878MEDIUMD-Link DWR-M920 formSmsManage sub_41C8E8 command injectionEPSS 4.2%CVE-2018-5439—A Command Injection issue was discovered in Nortek Linear eMerge E3 series Versions V0.32-07e and prior. A remote attacker may be able to exEPSS 4.2%CVE-2026-4203MEDIUMD-Link DNS-1550-04 network_mgr.cgi cgi_dhcpd command injectionEPSS 4.2%CVE-2025-11138MEDIUMmirweiye wenkucms common.php createPathOne os command injectionEPSS 4.2%CVE-2024-38228HIGHMicrosoft SharePoint Server Remote Code Execution VulnerabilityEPSS 4.2%CVE-2024-39764CRITICALMultiple OS command injection vulnerabilities exist in the internet.cgi set_add_routing() functionality of Wavlink AC3000 M33A8.V5030.210505EPSS 4.2%CVE-2026-4207MEDIUMD-Link DNS-1550-04 system_mgr.cgi cgi_ntp_time command injectionEPSS 4.1%CVE-2016-15057CRITICALApache Continuum: Command injection leading to RCEEPSS 4.1%CVE-2025-15191MEDIUMD-Link DWR-M920 formLtefotaUpgradeFibocom sub_4155B4 command injectionEPSS 4.1%CVE-2025-15192MEDIUMD-Link DWR-M920 formLtefotaUpgradeQuectel sub_415328 command injectionEPSS 4.1%CVE-2025-11095MEDIUMD-Link DIR-823X delete_offline_device command injectionEPSS 4.1%CVE-2025-11097MEDIUMD-Link DIR-823X set_device_name command injectionEPSS 4.1%CVE-2025-11096MEDIUMD-Link DIR-823X diag_traceroute command injectionEPSS 4.1%CVE-2025-11099MEDIUMD-Link DIR-823X delete_prohibiting uci_del command injectionEPSS 4.1%