Falhas do tipo CWE-77

2.810 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2025-14208MEDIUMD-Link DIR-823X set_wan_settings sub_415028 command injectionEPSS 3.4%CVE-2026-90847CRITICALEFM ipTIME C200E System Setup iux_set.cgi os command injectionEPSS 3.4%CVE-2026-4627HIGHD-Link DIR-825/DIR-825R NTP Service libdeuteron_modules.so handler_update_system_time os command injectionEPSS 3.4%CVE-2026-2686CRITICALSECCN Dingcheng G10 session_login.cgi qq os command injectionEPSS 3.4%CVE-2025-49835HIGHGHSL-2025-047: GPT-SoVITS Command Injection vulnerabilityEPSS 3.4%CVE-2026-2168MEDIUMD-Link DWR-M921 formLtefotaUpgradeQuectel sub_419920 command injectionEPSS 3.4%CVE-2025-7415MEDIUMTenda O3V2 httpd getTraceroute fromTraceroutGet command injectionEPSS 3.4%CVE-2026-2178MEDIUMr-huijts xcode-mcp-server run_lldb index.ts registerXcodeTools command injectionEPSS 3.4%CVE-2023-26822CRITICALD-Link Go-RT-AC750 revA_v101b03 was discovered to contain a command injection vulnerability via the service parameter at soapcgi.main.EPSS 3.4%CVE-2024-48705MEDIUMWavlink AC1200 with firmware versions M32A3_V1410_230602 and M32A3_V1410_240222 are vulnerable to a post-authentication command injection whEPSS 3.4%CVE-2023-51664HIGHtj-actions/changed-files command injection in output filenamesEPSS 3.4%CVE-2026-5463CRITICALpymetasploit3 - Command Injection via Newline Injection in console.run_module_with_output()EPSS 3.4%CVE-2025-4653HIGHRemote Code Execution leads to Command InjectionEPSS 3.3%CVE-2024-7215MEDIUMTOTOLINK LR1200 cstecgi.cgi NTPSyncWithHost command injectionEPSS 3.3%CVE-2025-49833HIGHGHSL-2025-045: GPT-SoVITS Command Injection vulnerabilityEPSS 3.3%CVE-2022-39073CRITICALThere is a command injection vulnerability in ZTE MF286R, Due to insufficient validation of the input parameters, an attacker could use the EPSS 3.3%CVE-2025-57199HIGHAVTECH SECURITY Corporation DGM1104 FullImg-1015-1004-1006-1003 was discovered to contain an authenticated command injection vulnerability iEPSS 3.3%CVE-2020-3219HIGHCisco IOS XE Software Web UI Command Injection VulnerabilityEPSS 3.3%CVE-2025-4032LOWinclusionAI AWorld shell_tool.py subprocess.Popen os command injectionEPSS 3.3%CVE-2026-2544MEDIUMyued-fe LuLu UI run.js child_process.exec os command injectionEPSS 3.3%