Falhas do tipo CWE-77

2.809 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-4164CRITICALWavlink WL-WN578W2 POST Request wireless.cgi GuestWifi command injectionEPSS 3.6%CVE-2026-4163CRITICALWavlink WL-WN579A3 POST Request wireless.cgi GuestWifi command injectionEPSS 3.6%CVE-2026-19348CRITICALShenzhen Aitemi M300 Wi-Fi Repeater protocol.csp sprintf command injectionEPSS 3.6%CVE-2026-5333MEDIUMDefaultFuction Content-Management-System tools.php command injectionEPSS 3.6%CVE-2024-22061HIGHA Heap Overflow vulnerability in WLInfoRailService component of Ivanti Avalanche before 6.4.3 allows a remote unauthenticated attacker to exEPSS 3.6%CVE-2026-5177MEDIUMTotolink A3300R cstecgi.cgi setWiFiBasicCfg command injectionEPSS 3.5%CVE-2026-5178MEDIUMTotolink A3300R cstecgi.cgi setIptvCfg command injectionEPSS 3.5%CVE-2026-5101MEDIUMTotolink A3300R Parameter cstecgi.cgi setLanCfg command injectionEPSS 3.5%CVE-2026-5104MEDIUMTotolink A3300R cstecgi.cgi setStaticRoute command injectionEPSS 3.5%CVE-2026-5102MEDIUMTotolink A3300R Parameter cstecgi.cgi setSmartQosCfg command injectionEPSS 3.5%CVE-2026-5103MEDIUMTotolink A3300R cstecgi.cgi setUPnPCfg command injectionEPSS 3.5%CVE-2026-5105MEDIUMTotolink A3300R Parameter cstecgi.cgi setVpnPassCfg command injectionEPSS 3.5%CVE-2022-32765CRITICALAn OS command injection vulnerability exists in the sysupgrade command injection functionality of Robustel R1510 3.1.16 and 3.3.0. A specialEPSS 3.5%CVE-2025-11490MEDIUMwonderwhy-er DesktopCommanderMCP Absolute Path command-manager.ts extractBaseCommand os command injectionEPSS 3.5%CVE-2026-1326MEDIUMTotolink NR1800X POST Request cstecgi.cgi setWanCfg command injectionEPSS 3.5%CVE-2026-1802MEDIUMZiroom ZHOME A0101 zrMacClone.lua macAddrClone command injectionEPSS 3.5%CVE-2024-23627CRITICALMotorola MR2600 SaveStaticRouteIPv4Params Command Injection VulnerabilityEPSS 3.5%CVE-2024-23626CRITICALMotorola MR2600 SaveSysLogParams Command Injection VulnerabilityEPSS 3.5%CVE-2020-3211HIGHCisco IOS XE Software Web UI Command Injection VulnerabilityEPSS 3.5%CVE-2026-79741MEDIUMDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Improper NeutraliEPSS 3.5%