Falhas do tipo CWE-77

2.809 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2025-11097MEDIUMD-Link DIR-823X set_device_name command injectionEPSS 4.1%CVE-2025-11098MEDIUMD-Link DIR-823X set_wifi_blacklists command injectionEPSS 4.1%CVE-2025-11096MEDIUMD-Link DIR-823X diag_traceroute command injectionEPSS 4.1%CVE-2026-7609MEDIUMTRENDnet TEW-821DAP Firmware Udpate diagnostic tools_diagnostic os command injectionEPSS 4.1%CVE-2022-40282HIGHThe web server of Hirschmann BAT-C2 before 09.13.01.00R04 allows authenticated command injection. This allows an authenticated attacker to pEPSS 4.1%CVE-2026-8632HIGHHP Linux Imaging and Printing Software – Potential Escalation of Privilege and Arbitrary Code ExecutionEPSS 4.1%CVE-2026-4196MEDIUMD-Link DNS-1550-04 remote_backup.cgi cgi_set_rsync_server command injectionEPSS 4.1%CVE-2026-1690MEDIUMTenda HG10 formSysCmd system command injectionEPSS 4.1%CVE-2023-1685MEDIUMHadSky Installation Interface index.php command injectionEPSS 4.1%CVE-2026-7096HIGHTenda HG3 formgponConf os command injectionEPSS 4.1%CVE-2019-1614HIGHCisco NX-OS Software NX-API Command Injection VulnerabilityEPSS 4.1%CVE-2026-4466MEDIUMComfast CF-AC100 mbox-config command injectionEPSS 4.1%CVE-2026-2157HIGHD-Link DIR-823X set_static_route_table sub_4175CC os command injectionEPSS 4.1%CVE-2026-2120HIGHD-Link DIR-823X Configuration Parameter set_server_settings os command injectionEPSS 4.1%CVE-2020-36529HIGHSevOne Network Management System Traceroute traceroute.php command injectionEPSS 4.1%CVE-2024-22198HIGHAuthenticated (user role) arbitrary command execution by modifying `start_cmd` setting (GHSL-2023-268)EPSS 4.1%CVE-2025-11407MEDIUMD-Link DI-7001 MINI upgrade_filter.asp os command injectionEPSS 4.0%CVE-2018-0430—Cisco Integrated Management Controller Command Injection VulnerabilityEPSS 4.0%CVE-2018-0431—Cisco Integrated Management Controller Command Injection VulnerabilityEPSS 4.0%CVE-2026-3301CRITICALTotolink N300RH Web Management cstecgi.cgi setWebWlanIdx os command injectionEPSS 4.0%