Falhas do tipo CWE-94

4.467 resultados

Injeção de script

Ocorre quando a aplicação constrói e executa código (JavaScript, Python, shell, etc.) usando dados não validados fornecidos pelo usuário. O atacante consegue injetar comandos arbitrários que serão executados com os privilégios da aplicação, comprometendo a segurança e integridade do sistema.

Exemplo

Um formulário que avalia expressões matemáticas recebidas do usuário: se a entrada é concatenada direto em um eval() ou equivalente, um atacante pode passar `__import__('os').system('rm -rf /')` em vez de uma expressão legítima, executando comandos do sistema.

Como mitigar

Nunca execute código construído a partir de entrada do usuário. Use parsers/validadores que aceitam apenas formatos esperados (whitelist), sandboxes para execução controlada, ou bibliotecas seguras que não avaliam código dinâmico. Se inevitável, isole rigidamente o ambiente de execução.

CVE-2023-51797MEDIUMBuffer Overflow vulnerability in Ffmpeg v.N113007-g8d24a28d06 allows a local attacker to execute arbitrary code via the libavfilter/avf_showEPSS 0.4%CVE-2025-4075MEDIUMVMSMan login.php cross site scriptingEPSS 0.4%CVE-2026-93956MEDIUMolivier-ls PHP-FTS Search SearchEngine.php buildHighlights cross site scriptingEPSS 0.4%CVE-2026-95657MEDIUMdgtlmoon Changedetection.io Visual Selector visual-selector.js setCurrentSelectedText cross site scriptingEPSS 0.4%CVE-2023-5578MEDIUMPortábilis i-Educar HTTP GET Request agenda_imprimir.php cross site scriptingEPSS 0.4%CVE-2024-12536MEDIUMSourceCodester Kortex Lite Advocate Office Management System client_data.php cross site scriptingEPSS 0.4%CVE-2026-4544MEDIUMWavlink WL-WN578W2 POST Request login.cgi cross site scriptingEPSS 0.4%CVE-2024-13900MEDIUMHead, Footer and Post Injections <= 3.3.0 - Authenticated (Administrator+) PHP Code Injection in Multisite EnvironmentsEPSS 0.4%CVE-2025-5010MEDIUMmoonlightL hexo-boot Blog Backend index.html cross site scriptingEPSS 0.4%CVE-2025-48140CRITICALWordPress MetalpriceAPI plugin <= 1.1.4 - Remote Code Execution (RCE) VulnerabilityEPSS 0.4%CVE-2026-94045MEDIUMnewbee-ltd newbee-mall Goods Save Endpoint UploadController.java cross site scriptingEPSS 0.4%CVE-2025-61773HIGHpyLoad CNL and captcha handlers allow code Injection via unsanitized parametersEPSS 0.4%CVE-2025-5011MEDIUMmoonlightL hexo-boot Dynamic List Page index.html cross site scriptingEPSS 0.4%CVE-2025-28993HIGHWordPress Content No Cache plugin <= 0.1.4 - Arbitrary Function Call vulnerabilityEPSS 0.4%CVE-2025-67035HIGHLantronix EDS5000 OS Command InjectionEPSS 0.4%CVE-2024-31396MEDIUMCode injection vulnerability exists in a-blog cms Ver.3.1.x series versions prior to Ver.3.1.12 and Ver.3.0.x series versions prior to Ver.3EPSS 0.4%CVE-2025-0301MEDIUMcode-projects Online Book Shop subcat.php cross site scriptingEPSS 0.4%CVE-2025-0220MEDIUMTrimble SPS851 Ethernet Configuration Menu cross site scriptingEPSS 0.4%CVE-2025-3961MEDIUMwithstars Books-Management-System do cross site scriptingEPSS 0.4%CVE-2025-3962MEDIUMwithstars Books-Management-System Comment add cross site scriptingEPSS 0.4%