Falhas do tipo CWE-94

4.460 resultados

Injeção de script

Ocorre quando a aplicação constrói e executa código (JavaScript, Python, shell, etc.) usando dados não validados fornecidos pelo usuário. O atacante consegue injetar comandos arbitrários que serão executados com os privilégios da aplicação, comprometendo a segurança e integridade do sistema.

Exemplo

Um formulário que avalia expressões matemáticas recebidas do usuário: se a entrada é concatenada direto em um eval() ou equivalente, um atacante pode passar `__import__('os').system('rm -rf /')` em vez de uma expressão legítima, executando comandos do sistema.

Como mitigar

Nunca execute código construído a partir de entrada do usuário. Use parsers/validadores que aceitam apenas formatos esperados (whitelist), sandboxes para execução controlada, ou bibliotecas seguras que não avaliam código dinâmico. Se inevitável, isole rigidamente o ambiente de execução.

CVE-2024-38990MEDIUMTada5hi sp-common v0.5.4 was discovered to contain a prototype pollution via the function mergeDeep. This vulnerability allows attackers to EPSS 0.5%CVE-2025-7885MEDIUMHuashengdun WebSSH Login Page cross site scriptingEPSS 0.5%CVE-2024-34405CRITICALImproper deep link validation in McAfee Security: Antivirus VPN for Android before 8.3.0 could allow an attacker to launch an arbitrary URL EPSS 0.5%CVE-2025-6700MEDIUMXuxueli xxl-sso login cross site scriptingEPSS 0.5%CVE-2024-12415MEDIUMAI Infographic Maker <= 4.9.0 - Unauthenticated Arbitrary Shortcode ExecutionEPSS 0.5%CVE-2026-3054MEDIUMAlinto SOGo cross site scriptingEPSS 0.5%CVE-2026-87067HIGHForminator Forms < 1.57.2.1 - Authenticated RCE via XML-RPC PHP Object InjectionEPSS 0.5%CVE-2024-13021MEDIUMSourceCodester Road Accident Map Marker add-mark.php cross site scriptingEPSS 0.5%CVE-2025-13146MEDIUMContact Form 7 – Dynamic Text Extension <= 5.0.7 - Unauthenticated Arbitrary Shortcode ExecutionEPSS 0.5%CVE-2025-2377MEDIUMSourceCodester Vehicle Management System confirmbooking.php cross site scriptingEPSS 0.5%CVE-2026-49113HIGHWordPress Cornerstone plugin < 7.8.8 - Arbitrary Code Execution vulnerabilityEPSS 0.5%CVE-2025-61929CRITICALCherry Studio allows one-click on a specific URL to cause a command to executeEPSS 0.5%CVE-2026-75078MEDIUMSourceCodester Class and Exam Timetabling System BSHRM1.php cross site scriptingEPSS 0.5%CVE-2026-15596MEDIUMSourceCodester Class and Exam Timetabling System subject.php cross site scriptingEPSS 0.5%CVE-2026-19998MEDIUMcode-projects Online Shopping System offersmail.php cross site scriptingEPSS 0.5%CVE-2026-95396MEDIUMsfturing hosp_order Public Search Handlers HospitalController.java cross site scriptingEPSS 0.5%CVE-2026-13554MEDIUMitsourcecode Online Hotel Management System POST Request controller.php add cross site scriptingEPSS 0.5%CVE-2026-24806MEDIUMBuffer Write Security Vulnerability in liuyueyi/quick-mediaEPSS 0.5%CVE-2026-90795MEDIUMitsourcecode Loan Management System navbar.php cross site scriptingEPSS 0.5%CVE-2026-86244MEDIUMFastAdmin User Controller User.php login cross site scriptingEPSS 0.5%