Falhas do tipo CWE-78
4.590 resultadosInjeção de comando do sistema operacional
A aplicação constrói comandos do SO usando dados de entrada do usuário sem sanitização adequada, permitindo que um atacante injete comandos adicionais. Quando o comando é executado, instruções maliciosas do atacante rodam com os privilégios da aplicação, comprometendo o servidor.
Exemplo
Um script PHP que executa `system('ping ' . $_GET['host'])` sem validar o parâmetro. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, não apenas fazer ping.
Como mitigar
Sempre valide e sanitize entrada de usuário; prefira APIs seguras (como funções que aceitam argumentos separados em vez de strings de comando); execute com menor privilégio necessário; use listas brancas de valores permitidos quando possível.
CVE-2024-4508MEDIUMRuijie RG-UAC static_route_edit_ipv6.php os command injectionEPSS 7.1%CVE-2025-13087HIGHCommand Injection in Opto22 Groov REST APIEPSS 7.0%CVE-2025-12296MEDIUMD-Link DAP-2695 Firmware Update sub_4174B0 os command injectionEPSS 7.0%CVE-2025-15501CRITICALSangfor Operation and Maintenance Management System getCmd WriterHandle.getCmd os command injectionEPSS 7.0%CVE-2025-34041CRITICALSangfor Endpoint Detection and Response OS Command InjectionEPSS 7.0%CVE-2025-34087CRITICALPi-Hole AdminLTE Whitelist (now 'Web Allowlist') Remote Command ExecutionEPSS 7.0%CVE-2026-27175CRITICALMajorDoMo Command Injection in rc/index.php via Race ConditionEPSS 7.0%CVE-2025-55583CRITICALD-Link DIR-868L B1 router firmware version FW2.05WWB02 contains an unauthenticated OS command injection vulnerability in the fileaccess.cgi EPSS 7.0%CVE-2026-4253MEDIUMTenda AC8 Web UploadCfg route_set_user_policy_rule os command injectionEPSS 7.0%CVE-2025-0798CRITICALMicroWorld eScan Antivirus Quarantine rtscanner os command injectionEPSS 6.9%CVE-2020-5757—Grandstream UCM6200 series firmware version 1.0.20.23 and below is vulnerable to OS command injection via HTTP. An authenticated remote attaEPSS 6.9%CVE-2025-9579MEDIUMLB-LINK BL-X26 HTTP set_hidessid_cfg os command injectionEPSS 6.9%CVE-2024-4509MEDIUMRuijie RG-UAC add_commit.php os command injectionEPSS 6.9%CVE-2025-43989MEDIUMThe /goform/formJsonAjaxReq POST endpoint of Shenzhen Tuoshi NR500-EA RG500UEAABxCOMSLICv3.4.2731.16.43 devices mishandles the set_timesettiEPSS 6.9%CVE-2024-4502MEDIUMRuijie RG-UAC dhcp_client_commit.php os command injectionEPSS 6.8%CVE-2024-4501MEDIUMRuijie RG-UAC commit.php os command injectionEPSS 6.8%CVE-2024-4505MEDIUMRuijie RG-UAC ip_addr_add_commit.php os command injectionEPSS 6.8%CVE-2024-4503MEDIUMRuijie RG-UAC dhcp_relay_commit.php os command injectionEPSS 6.8%CVE-2023-4711MEDIUMD-Link DAR-8000-10 decodmail.php os command injectionEPSS 6.8%CVE-2025-8823MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 setDeviceName os command injectionEPSS 6.8%