Falhas do tipo CWE-78
5.060 resultadosInjeção de comando do sistema operacional
A aplicação constrói comandos do SO usando dados de entrada do usuário sem sanitização adequada, permitindo que um atacante injete comandos adicionais. Quando o comando é executado, instruções maliciosas do atacante rodam com os privilégios da aplicação, comprometendo o servidor.
Exemplo
Um script PHP que executa `system('ping ' . $_GET['host'])` sem validar o parâmetro. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, não apenas fazer ping.
Como mitigar
Sempre valide e sanitize entrada de usuário; prefira APIs seguras (como funções que aceitam argumentos separados em vez de strings de comando); execute com menor privilégio necessário; use listas brancas de valores permitidos quando possível.
CVE-2023-3606MEDIUMTamronOS ping os command injectionEPSS 7.1%CVE-2024-4510MEDIUMRuijie RG-UAC arp_add_commit.php os command injectionEPSS 7.1%CVE-2024-4508MEDIUMRuijie RG-UAC static_route_edit_ipv6.php os command injectionEPSS 7.1%CVE-2025-34087CRITICALPi-Hole AdminLTE Whitelist (now 'Web Allowlist') Remote Command ExecutionEPSS 7.0%CVE-2025-12296MEDIUMD-Link DAP-2695 Firmware Update sub_4174B0 os command injectionEPSS 7.0%CVE-2026-1324HIGHSangfor Operation and Maintenance Management System SSH Protocol session SessionController os command injectionEPSS 7.0%CVE-2020-37125CRITICALEdimax Technology EW-7438RPn-v3 Mini 1.27 - Remote Code ExecutionEPSS 7.0%CVE-2025-55583CRITICALD-Link DIR-868L B1 router firmware version FW2.05WWB02 contains an unauthenticated OS command injection vulnerability in the fileaccess.cgi EPSS 7.0%CVE-2026-8767LOWvercel ai PR Branch Name Interpolation prettier-on-automerge.yml run os command injectionEPSS 7.0%CVE-2026-111217HIGHNetgate pfSense CE through 2.9.0 OS Command Injection via CARP VHIDEPSS 7.0%CVE-2026-2944MEDIUMTosei Online Store Management System ネット店舗管理システム HTTP POST Request monitor.php system os command injectionEPSS 6.9%CVE-2025-9575MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 upload.cgi cgiMain os command injectionEPSS 6.9%CVE-2020-5757—Grandstream UCM6200 series firmware version 1.0.20.23 and below is vulnerable to OS command injection via HTTP. An authenticated remote attaEPSS 6.9%CVE-2024-4509MEDIUMRuijie RG-UAC add_commit.php os command injectionEPSS 6.9%CVE-2025-15501CRITICALSangfor Operation and Maintenance Management System getCmd WriterHandle.getCmd os command injectionEPSS 6.9%CVE-2026-27175CRITICALMajorDoMo Command Injection in rc/index.php via Race ConditionEPSS 6.9%CVE-2024-4501MEDIUMRuijie RG-UAC commit.php os command injectionEPSS 6.8%CVE-2024-4503MEDIUMRuijie RG-UAC dhcp_relay_commit.php os command injectionEPSS 6.8%CVE-2024-4505MEDIUMRuijie RG-UAC ip_addr_add_commit.php os command injectionEPSS 6.8%CVE-2024-4502MEDIUMRuijie RG-UAC dhcp_client_commit.php os command injectionEPSS 6.8%