Falhas do tipo CWE-78
5.060 resultadosInjeção de comando do sistema operacional
A aplicação constrói comandos do SO usando dados de entrada do usuário sem sanitização adequada, permitindo que um atacante injete comandos adicionais. Quando o comando é executado, instruções maliciosas do atacante rodam com os privilégios da aplicação, comprometendo o servidor.
Exemplo
Um script PHP que executa `system('ping ' . $_GET['host'])` sem validar o parâmetro. Um atacante passa `8.8.8.8; rm -rf /` e consegue deletar arquivos do servidor, não apenas fazer ping.
Como mitigar
Sempre valide e sanitize entrada de usuário; prefira APIs seguras (como funções que aceitam argumentos separados em vez de strings de comando); execute com menor privilégio necessário; use listas brancas de valores permitidos quando possível.
CVE-2025-8823MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 setDeviceName os command injectionEPSS 5.8%CVE-2025-8829MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 RP_setBasicAuto um_red os command injectionEPSS 5.8%CVE-2025-8827MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 RP_setBasicAuto um_inspect_cross_band os command injectionEPSS 5.8%CVE-2025-8825MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 RP_setBasicAuto os command injectionEPSS 5.8%CVE-2025-8830MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 setWan sub_3517C os command injectionEPSS 5.8%CVE-2025-8821MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 RP_setBasic os command injectionEPSS 5.8%CVE-2023-22653HIGHAn OS command injection vulnerability exists in the vtysh_ubus tcpdump_start_cb functionality of Milesight UR32L v32.3.0.5. A specially crafEPSS 5.8%CVE-2026-1448HIGHD-Link DIR-615 Web Management wiz_policy_3_machine.php os command injectionEPSS 5.8%CVE-2026-19586CRITICALPre-Authentication OS Command Injection in Omada Gateways on OpenVPN Server in Omada GatewaysEPSS 5.8%CVE-2024-7357MEDIUMD-Link DIR-600 soap.cgi soapcgi_main os command injectionEPSS 5.7%CVE-2025-71284CRITICALSynway SMG Gateway Management Software OS Command Injection via radius_addressEPSS 5.7%CVE-2025-15499HIGHSangfor Operation and Maintenance Management System VersionController.java uploadCN os command injectionEPSS 5.7%CVE-2025-9579MEDIUMLB-LINK BL-X26 HTTP set_hidessid_cfg os command injectionEPSS 5.7%CVE-2019-11062—SUNNET WMPro v5.0 and v5.1 has OS Command InjectionEPSS 5.7%CVE-2026-7608MEDIUMTRENDnet TEW-821DAP tools_diagnostic os command injectionEPSS 5.7%CVE-2025-9244MEDIUMLinksys RE6250/RE6300/RE6350/RE6500/RE7000/RE9000 addStaticRoute os command injectionEPSS 5.7%CVE-2026-44194CRITICALOPNsense: RCE on user managmentEPSS 5.7%CVE-2026-25623HIGHArista Edge Threat Management NGFW UI Arbitrary Command ExecutionEPSS 5.6%CVE-2022-30603CRITICALAn OS command injection vulnerability exists in the web interface /action/iperf functionality of Abode Systems, Inc. iota All-In-One SecuritEPSS 5.6%CVE-2026-1506HIGHD-Link DIR-615 MAC Filter Configuration adv_mac_filter.php os command injectionEPSS 5.6%