Falhas do tipo CWE-94

4.496 resultados

Injeção de script

Ocorre quando a aplicação constrói e executa código (JavaScript, Python, shell, etc.) usando dados não validados fornecidos pelo usuário. O atacante consegue injetar comandos arbitrários que serão executados com os privilégios da aplicação, comprometendo a segurança e integridade do sistema.

Exemplo

Um formulário que avalia expressões matemáticas recebidas do usuário: se a entrada é concatenada direto em um eval() ou equivalente, um atacante pode passar `__import__('os').system('rm -rf /')` em vez de uma expressão legítima, executando comandos do sistema.

Como mitigar

Nunca execute código construído a partir de entrada do usuário. Use parsers/validadores que aceitam apenas formatos esperados (whitelist), sandboxes para execução controlada, ou bibliotecas seguras que não avaliam código dinâmico. Se inevitável, isole rigidamente o ambiente de execução.

CVE-2025-15145MEDIUMSohuTV CacheCloud TotalManageController.java doTotalList cross site scriptingEPSS 0.2%CVE-2026-27675LOWCode Injection vulnerability in SAP Landscape TransformationEPSS 0.2%CVE-2025-9939MEDIUMCodeAstro Real Estate Management System propertyview.php cross site scriptingEPSS 0.2%CVE-2024-46965MEDIUMThe DS allvideo.downloader.browser (aka Fast Video Downloader: Browser) application through 1.6-RC1 for Android allows an attacker to executEPSS 0.2%CVE-2026-10175MEDIUMAider-AI Aider Architect Mode auth.py editor_coder.run code injectionEPSS 0.2%CVE-2025-7800MEDIUMcgpandey hotelmis HTTP GET Request admin.php cross site scriptingEPSS 0.2%CVE-2026-97225MEDIUMDbGate JSON Runner runners.js code injectionEPSS 0.2%CVE-2023-31044LOWAn issue was discovered in Nokia Impact before Mobile 23_FP1. In Impact DM 19.11 onwards, a remote authenticated user, using the Add CampaigEPSS 0.2%CVE-2026-1977MEDIUMisaacwasserman mcp-vegalite-server visualize_data eval code injectionEPSS 0.2%CVE-2026-49241HIGHAngular: Multiple Remote Code Execution Vulnerabilities in Angular Language Service VS Code ExtensionEPSS 0.2%CVE-2025-11019MEDIUMTotal.js CMS Files Menu cross site scriptingEPSS 0.2%CVE-2025-9723MEDIUMPortabilis i-Educar educar_tipo_regime_cad.php cross site scriptingEPSS 0.2%CVE-2025-14663MEDIUMcode-projects Student File Management System update_student.php cross site scriptingEPSS 0.2%CVE-2025-9720MEDIUMPortabilis i-Educar Cadastrar tabela de arredondamento edit cross site scriptingEPSS 0.2%CVE-2025-7869MEDIUMPortabilis i-Educar Turma Module educar_turma_tipo_det.php cross site scriptingEPSS 0.2%CVE-2025-9721MEDIUMPortabilis i-Educar edit cross site scriptingEPSS 0.2%CVE-2025-10372MEDIUMPortabilis i-Educar educar_modulo_cad.php cross site scriptingEPSS 0.2%CVE-2026-24248HIGHNVIDIA Megatron Bridge for Linux contains a vulnerability where an attacker could cause improper control of code generation. A successful exEPSS 0.2%CVE-2025-9724MEDIUMPortabilis i-Educar educar_nivel_ensino_cad.php cross site scriptingEPSS 0.2%CVE-2025-9722MEDIUMPortabilis i-Educar educar_tipo_ocorrencia_disciplinar_cad.php cross site scriptingEPSS 0.2%