Falhas do tipo CWE-78
4.589 resultadosInjeção de comando do sistema operacional
A aplicação constrói comandos do SO usando dados de entrada do usuário sem sanitização adequada, permitindo que um atacante injete comandos adicionais. Quando o comando é executado, instruções maliciosas do atacante rodam com os privilégios da aplicação, comprometendo o servidor.
Exemplo
Um script PHP que executa `system('ping ' . $_GET['host'])` sem validar o parâmetro. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, não apenas fazer ping.
Como mitigar
Sempre valide e sanitize entrada de usuário; prefira APIs seguras (como funções que aceitam argumentos separados em vez de strings de comando); execute com menor privilégio necessário; use listas brancas de valores permitidos quando possível.
CVE-2023-26213HIGHOn Barracuda CloudGen WAN Private Edge Gateway devices before 8 webui-sdwan-1089-8.3.1-174141891, an OS command injection vulnerability exisEPSS 7.9%CVE-2024-5340MEDIUMRuijie RG-UAC sub_commit.php os command injectionEPSS 7.9%CVE-2024-5338MEDIUMRuijie RG-UAC online.php os command injectionEPSS 7.9%CVE-2024-5339MEDIUMRuijie RG-UAC online_check.php os command injectionEPSS 7.9%CVE-2024-4507MEDIUMRuijie RG-UAC static_route_add_ipv6.php os command injectionEPSS 7.9%CVE-2024-2897MEDIUMTenda AC7 WriteFacMac formWriteFacMac os command injectionEPSS 7.8%CVE-2025-11285MEDIUMsamanhappy MCPHub serverController.ts os command injectionEPSS 7.8%CVE-2025-50475CRITICALAn OS command injection vulnerability exists in Russound MBX-PRE-D67F firmware version 3.1.6, allowing unauthenticated attackers to execute EPSS 7.7%CVE-2025-1616MEDIUMFiberHome AN5506-01A ONU GPON Diagnosis os command injectionEPSS 7.7%CVE-2025-5620MEDIUMD-Link DIR-816 setipsec_config os command injectionEPSS 7.7%CVE-2021-32849HIGHArbitrary command execution in GerapyEPSS 7.6%CVE-2024-6187MEDIUMRuijie RG-UAC sub_commit.php os command injectionEPSS 7.6%CVE-2025-34513CRITICALIlevia EVE X1 Server 4.7.18.0.eden Unauthenticated Command InjectionEPSS 7.6%CVE-2024-4506MEDIUMRuijie RG-UAC ip_addr_edit_commit.php os command injectionEPSS 7.6%CVE-2025-63932HIGHD-Link Router DIR-868L A1 FW106KRb01.bin has an unauthenticated remote code execution vulnerability in the cgibin binary. The HNAP service pEPSS 7.6%CVE-2026-6204HIGHLibreNMS versions before 26.3.0 are affected by an authenticated remote code execution vulnerability by abusing the Binary Locations config EPSS 7.5%CVE-2026-56274HIGHFlowise - Remote Code Execution via MCP Security Bypass in validateCommandFlags and validateArgsForLocalFileAccessEPSS 7.5%CVE-2026-2952MEDIUMVaelsys HTTP POST Request tree_server.php os command injectionEPSS 7.5%CVE-2025-5621MEDIUMD-Link DIR-816 qosClassifier os command injectionEPSS 7.5%CVE-2025-34043CRITICALVacron NVR Remote Command ExecutionEPSS 7.5%