Falhas do tipo CWE-77

2.810 resultados

Injeção de comando

O software monta comandos do sistema ou de interpretadores (shell, SQL, etc.) usando dados que vêm de fora (entrada do usuário, requisição HTTP, arquivo) sem sanitizar ou sanitizando incorretamente caracteres especiais. Um atacante consegue 'fechar' o comando legítimo e injetar comandos arbitrários que serão executados com os mesmos privilégios da aplicação.

Exemplo

Um script que executa `ping` no endereço fornecido pelo usuário: `system('ping ' + user_input)`. Se o usuário digita `8.8.8.8; rm -rf /`, o comando executado vira dois: primeiro o ping, depois a deleção de arquivos. A maioria das CVEs de injeção de comando vêm deste padrão.

Como mitigar

Use APIs que aceitam argumentos como lista (não concatenação de strings) — ex: subprocess.run(['ping', user_input]) em Python ou parameterized queries em banco de dados. Se precisar de interpretador, valide rigorosamente a entrada com lista branca (aceita apenas IP/domínio válido) e evite shells intermediários.

CVE-2026-9475CRITICALTotolink A8000RU Web Management cstecgi.cgi setIpQosRules os command injectionEPSS 3.3%CVE-2026-6138CRITICALTotolink A7100RU CGI cstecgi.cgi setAccessDeviceCfg os command injectionEPSS 3.3%CVE-2016-8628HIGHAnsible before version 2.2.0 fails to properly sanitize fact variables sent from the Ansible controller. An attacker with the ability to creEPSS 3.3%CVE-2026-7153CRITICALTotolink A8000RU CGI cstecgi.cgi setMiniuiHomeInfoShow os command injectionEPSS 3.3%CVE-2026-5996CRITICALTotolink A7100RU CGI cstecgi.cgi setAdvancedInfoShow os command injectionEPSS 3.3%CVE-2026-5976CRITICALTotolink A7100RU CGI cstecgi.cgi setStorageCfg os command injectionEPSS 3.3%CVE-2026-9456CRITICALTotolink A8000RU Web Management cstecgi.cgi setOpenVpnCfg os command injectionEPSS 3.3%CVE-2026-7538CRITICALTotolink A8000RU CGI cstecgi.cgi vulnerability os command injectionEPSS 3.3%CVE-2026-9406CRITICALTotolink A8000RU Web Management cstecgi.cgi setRemoteCfg os command injectionEPSS 3.3%CVE-2026-6027CRITICALTotolink A7100RU CGI cstecgi.cgi setUrlFilterRules os command injectionEPSS 3.3%CVE-2026-5977CRITICALTotolink A7100RU CGI cstecgi.cgi setWiFiBasicCfg os command injectionEPSS 3.3%CVE-2026-9407CRITICALTotolink A8000RU Web Management cstecgi.cgi setFirewallType os command injectionEPSS 3.3%CVE-2026-5993CRITICALTotolink A7100RU CGI cstecgi.cgi setWiFiGuestCfg os command injectionEPSS 3.3%CVE-2026-9384CRITICALTotolink A8000RU Web Management cstecgi.cgi setDiagnosisCfg os command injectionEPSS 3.3%CVE-2026-9435CRITICALTotolink A8000RU Web Management cstecgi.cgi setQosCfg os command injectionEPSS 3.3%CVE-2026-6025CRITICALTotolink A7100RU CGI cstecgi.cgi setSyslogCfg os command injectionEPSS 3.3%CVE-2026-6140CRITICALTotolink A7100RU CGI cstecgi.cgi UploadFirmwareFile os command injectionEPSS 3.3%CVE-2026-6116CRITICALTotolink A7100RU CGI cstecgi.cgi setDiagnosisCfg os command injectionEPSS 3.3%CVE-2026-6115CRITICALTotolink A7100RU CGI cstecgi.cgi setAppCfg os command injectionEPSS 3.3%CVE-2026-7155CRITICALTotolink A8000RU CGI cstecgi.cgi setLoginPasswordCfg os command injectionEPSS 3.3%