Falhas do tipo CWE-94

4.483 resultados

Injeção de script

Ocorre quando a aplicação constrói e executa código (JavaScript, Python, shell, etc.) usando dados não validados fornecidos pelo usuário. O atacante consegue injetar comandos arbitrários que serão executados com os privilégios da aplicação, comprometendo a segurança e integridade do sistema.

Exemplo

Um formulário que avalia expressões matemáticas recebidas do usuário: se a entrada é concatenada direto em um eval() ou equivalente, um atacante pode passar `__import__('os').system('rm -rf /')` em vez de uma expressão legítima, executando comandos do sistema.

Como mitigar

Nunca execute código construído a partir de entrada do usuário. Use parsers/validadores que aceitam apenas formatos esperados (whitelist), sandboxes para execução controlada, ou bibliotecas seguras que não avaliam código dinâmico. Se inevitável, isole rigidamente o ambiente de execução.

CVE-2024-13135MEDIUMEmlog Pro Subpage twitter.php cross site scriptingEPSS 0.3%CVE-2025-5879MEDIUMWuKongOpenSource WukongCRM File Upload AdminSysConfigController.java cross site scriptingEPSS 0.3%CVE-2024-13015MEDIUMPHPGurukul Maid Hiring Management System search-booking-request.php cross site scriptingEPSS 0.3%CVE-2026-81833MEDIUMRooCodeInc Roo-Code CodeIndexManager helpers.ts optimizeQuery code injectionEPSS 0.3%CVE-2024-13018MEDIUMPHPGurukul Maid Hiring Management System profile.php cross site scriptingEPSS 0.3%CVE-2026-19964MEDIUMJij-Inc Jij-MCP-Server jm_check python_repr.py PythonREPL.run code injectionEPSS 0.3%CVE-2020-37178MEDIUMKeePass 2.44 - Denial of Service (PoC)EPSS 0.3%CVE-2026-53579CRITICALTrilium: Note Import to RCE via Book NoteEPSS 0.3%CVE-2026-53578CRITICALTrilium: Note Import to RCE via Mind Elixir dangerouslySetInnerHtmlEPSS 0.3%CVE-2026-81835MEDIUMRooCodeInc Roo-Code MCP Integration Trust Model malicious_mcp_server.py fetch_instructions code injectionEPSS 0.3%CVE-2026-48996CRITICALTrilium: Malicious import with GeoMap marker title XSS leads to RCE on the desktop clientEPSS 0.3%CVE-2023-28793HIGHHeap Based Buffer Overflow in LibraryEPSS 0.3%CVE-2025-0228MEDIUMcode-projects Local Storage Todo App index.html cross site scriptingEPSS 0.3%CVE-2025-10703HIGHImproper Control of Generation of Code ('Code Injection') vulnerability in Progress DataDirect Connect for JDBC drivers, Progress DataDirectEPSS 0.3%CVE-2025-2131MEDIUMdayrui XunRuiCMS Friendly Links cross site scriptingEPSS 0.3%CVE-2025-10702HIGHImproper Control of Generation of Code ('Code Injection') vulnerability in Progress DataDirect Connect for JDBC drivers, Progress DataDirectEPSS 0.3%CVE-2025-2364MEDIUMlenve VBlog ArticleService.java addNewArticle cross site scriptingEPSS 0.3%CVE-2025-10369MEDIUMMiczFlor RPi-Jukebox-RFID cardRegisterNew.php cross site scriptingEPSS 0.3%CVE-2026-45058CRITICALelecterm: Import unsafe bookmark data could lead to unsafe operation when click local type bookmarkEPSS 0.3%CVE-2025-1591MEDIUMSourceCodester Employee Management System Department Page department.php cross site scriptingEPSS 0.3%