Falhas do tipo CWE-77

2.809 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-5178MEDIUMTotolink A3300R cstecgi.cgi setIptvCfg command injectionEPSS 4.0%CVE-2026-2084HIGHD-Link DIR-823X set_language os command injectionEPSS 4.0%CVE-2019-15609—The kill-port-process package version < 2.2.0 is vulnerable to a Command Injection vulnerability.EPSS 4.0%CVE-2026-5105MEDIUMTotolink A3300R Parameter cstecgi.cgi setVpnPassCfg command injectionEPSS 4.0%CVE-2026-5103MEDIUMTotolink A3300R cstecgi.cgi setUPnPCfg command injectionEPSS 4.0%CVE-2025-10774MEDIUMRuijie 6000-E10 sub_commit.php os command injectionEPSS 4.0%CVE-2022-26826HIGHWindows DNS Server Remote Code Execution VulnerabilityEPSS 4.0%CVE-2026-2210HIGHD-Link DIR-823X set_filtering sub_4211C8 os command injectionEPSS 4.0%CVE-2026-2155HIGHD-Link DIR-823X Configuration set_dmz sub_4208A0 os command injectionEPSS 4.0%CVE-2018-0424—Cisco RV110W, RV130W, and RV215W Routers Management Interface Command Injection VulnerabilityEPSS 4.0%CVE-2025-12313MEDIUMD-Link DI-7001 MINI msp_info.htm command injectionEPSS 4.0%CVE-2022-44832CRITICALD-Link DIR-3040 device with firmware 120B03 was discovered to contain a command injection vulnerability via the SetTriggerLEDBlink function.EPSS 3.9%CVE-2026-2218MEDIUMD-Link DCS-933L alphapd setSystemAdmin command injectionEPSS 3.9%CVE-2025-60698HIGHA command injection vulnerability exists in the D-Link DIR-882 Router firmware DIR882A1_FW102B02 within the `prog.cgi` and `rc` binaries. ThEPSS 3.9%CVE-2026-2194MEDIUMD-Link DI-7100G C1 start_proxy_client_email command injectionEPSS 3.9%CVE-2026-4210MEDIUMD-Link DNS-1550-04 time_machine.cgi cgi_tm_set_share command injectionEPSS 3.9%CVE-2025-9026MEDIUMD-Link DIR-860L Simple Service Discovery Protocol cgibin ssdpcgi_main os command injectionEPSS 3.9%CVE-2026-2175HIGHD-Link DIR-823X set_upnp sub_420618 os command injectionEPSS 3.9%CVE-2026-16492MEDIUMumijs umi GIT File Helper getFileGitIno.ts git.getFileCreateInfo os command injectionEPSS 3.9%CVE-2025-14659HIGHD-Link DIR-860LB1/DIR-868LB1 DHCP command injectionEPSS 3.9%