Falhas do tipo CWE-77

2.810 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2024-21488HIGHVersions of the package network before 0.7.0 are vulnerable to Arbitrary Command Injection due to use of the child_process exec function witEPSS 3.3%CVE-2025-49834HIGHGHSL-2025-046: GPT-SoVITS Command Injection vulnerabilityEPSS 3.3%CVE-2025-49836HIGHGHSL-2025-048: GPT-SoVITS Command Injection vulnerabilityEPSS 3.3%CVE-2022-45796CRITICALSHARP Multifunction Printer - Command InjectionEPSS 3.3%CVE-2025-57296MEDIUMTenda AC6 router firmware 15.03.05.19 contains a command injection vulnerability in the formSetIptv function, which processes requests to thEPSS 3.3%CVE-2024-35242HIGHComposer vulnerable to command injection via malicious git/hg branch namesEPSS 3.3%CVE-2026-90699CRITICALD-Link DWR-M920 formPinManageSetup sub_41E60C os command injectionEPSS 3.3%CVE-2026-85223CRITICALD-Link DNS-340L CGI dropbox.cgi os command injectionEPSS 3.3%CVE-2026-82689CRITICALD-Link DNS-320L/DNS-327L/DNS-340L/DNS-345 ISO Image isomount_mgr.cgi os command injectionEPSS 3.3%CVE-2026-82692CRITICALD-Link DNS-340L/DNS-345 iscsi_mgr.cgi os command injectionEPSS 3.3%CVE-2023-1458HIGHA vulnerability has been found in Ubiquiti EdgeRouter X 2.0.9-hotfix.6 and classified as critical. Affected by this vulnerability is an unknEPSS 3.3%CVE-2025-1369LOWMicroWord eScan Antivirus USB Password os command injectionEPSS 3.3%CVE-2019-6552—Advantech WebAccess/SCADA, Versions 8.3.5 and prior. Multiple command injection vulnerabilities, caused by a lack of proper validation of usEPSS 3.3%CVE-2025-3729MEDIUMSourceCodester Web-based Pharmacy Product Management System Database Backup backup.php os command injectionEPSS 3.3%CVE-2026-9476CRITICALTotolink A8000RU Web Management cstecgi.cgi setPasswordCfg os command injectionEPSS 3.3%CVE-2026-9435CRITICALTotolink A8000RU Web Management cstecgi.cgi setQosCfg os command injectionEPSS 3.3%CVE-2026-9456CRITICALTotolink A8000RU Web Management cstecgi.cgi setOpenVpnCfg os command injectionEPSS 3.3%CVE-2026-9543CRITICALTotolink N300RH Web Management cstecgi.cgi setPasswordCfg os command injectionEPSS 3.3%CVE-2026-7204CRITICALTotolink A8000RU CGI cstecgi.cgi setPptpServerCfg os command injectionEPSS 3.3%CVE-2026-9408CRITICALTotolink A8000RU Web Management cstecgi.cgi setStaticDhcpRules os command injectionEPSS 3.3%