Falhas do tipo CWE-94

4.422 resultados

Injeção de script

Ocorre quando a aplicação constrói e executa código (JavaScript, Python, shell, etc.) usando dados não validados fornecidos pelo usuário. O atacante consegue injetar comandos arbitrários que serão executados com os privilégios da aplicação, comprometendo a segurança e integridade do sistema.

Exemplo

Um formulário que avalia expressões matemáticas recebidas do usuário: se a entrada é concatenada direto em um eval() ou equivalente, um atacante pode passar `__import__('os').system('rm -rf /')` em vez de uma expressão legítima, executando comandos do sistema.

Como mitigar

Nunca execute código construído a partir de entrada do usuário. Use parsers/validadores que aceitam apenas formatos esperados (whitelist), sandboxes para execução controlada, ou bibliotecas seguras que não avaliam código dinâmico. Se inevitável, isole rigidamente o ambiente de execução.

CVE-2020-8149—Lack of output sanitization allowed an attack to execute arbitrary shell commands via the logkitty npm package before version 0.7.1.EPSS 2.0%CVE-2025-34277CRITICALNagios Log Server < 2024R1.3.1 RCE via Malformed Dashboard IDEPSS 2.0%CVE-2026-66147CRITICALAn unauthenticated command injection vulnerability was identified in the GMS Dispatcher Service in GMS 9.5.1 and earlier versions which alloEPSS 2.0%CVE-2022-35777HIGHVisual Studio Remote Code Execution VulnerabilityEPSS 2.0%CVE-2022-25967HIGHVersions of the package eta before 2.0.0 are vulnerable to Remote Code Execution (RCE) by overwriting template engine configuration variableEPSS 2.0%CVE-2024-27622HIGHA remote code execution vulnerability has been identified in the User Defined Tags module of CMS Made Simple version 2.2.19 / 2.2.21. This vEPSS 2.0%CVE-2011-10018CRITICALmyBB 1.6.4 Backdoor Arbitrary Command ExecutionEPSS 2.0%CVE-2025-3472MEDIUMOcean Extra <= 2.4.6 - Unauthenticated Arbitrary Shortcode ExecutionEPSS 2.0%CVE-2024-5082HIGHNexus Repository 2 - Remote Code ExecutionEPSS 2.0%CVE-2021-29465HIGHRemote file overwrite on discord-recon can result in DoS and Remote Code ExecutionEPSS 2.0%CVE-2023-36437HIGHAzure DevOps Server Remote Code Execution VulnerabilityEPSS 2.0%CVE-2021-24312—WP Super Cache < 1.7.3 - Authenticated Remote Code ExecutionEPSS 1.9%CVE-2023-34112MEDIUMJavaCPP project actions vulnerable to code injection EPSS 1.9%CVE-2023-23477HIGHIBM WebSphere Application Server code executionEPSS 1.9%CVE-2022-3242MEDIUMHTML code Injection in template search keyword in microweber/microweberEPSS 1.9%CVE-2021-32673HIGHRemote Command Execution in reg-keygen-git-hash-pluginEPSS 1.9%CVE-2024-6345HIGHRemote Code Execution in pypa/setuptoolsEPSS 1.9%CVE-2023-5540MEDIUMMoodle: authenticated remote code execution risk in imscpEPSS 1.9%CVE-2022-41158HIGHeyoom builder Remote Code Execution VulnerabilityEPSS 1.9%CVE-2026-27876CRITICALRCE on Grafana via sqlExpressionsEPSS 1.9%