CWE-77
MITRE Внедрение команд
Command Injection
CWE-77 — внедрение команд: данные извне не обезвреживаются перед подстановкой в чужую команду. Ошибка возникает, когда строка из аргументов, формы или переменной окружения дописывается к вызову служебной команды: команд ОС или языка команд приложения. Злоумышленник подменяет команду и получает выполнение произвольных операций: чтение файлов, запуск программ, изменение данных.
Как защититься от CWE-77
Чтобы защититься от CWE-77, по возможности вызывайте библиотечные функции вместо внешних процессов и собирайте внешние команды статически, без подстановки входных данных. Проверяйте ввод по списку допустимых значений, а на уровне выполнения разрешайте только санкционированные команды. Выдайте процессу права, не позволяющие открывать привилегированные файлы, и ограничьте права пользователя.
Уязвимости с типом CWE-77 (50)
В
7.5Уязвимость пакета реализации набора стандартов JWE, JWS, JWT go-jose для языка программирования Go, связанная с распреде2026-10-15 С
6.9Уязвимость платформы для мониторинга безопасности и обнаружения угроз Wazuh, связанная с неправильным ограничением рекур2026-10-13 К
8.8Уязвимость командной оболочки Shell операционных систем Windows, позволяющая нарушителю обойти существующие механизмы бе2026-10-13 К
8.8Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с непринятием мер по очистке данных на управ2026-10-13 В
8.5Уязвимость компонента Ping Diagnostic микропрограммного обеспечения маршрутизаторов Linksys WRT54GL, позволяющая нарушит2026-10-11 В
7.5Уязвимость пакета net/http языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании2026-10-08 В
7.5Уязвимость пакетов net/textproto и mime/multipart языка программирования Go, позволяющая нарушителю вызвать отказ в обсл2026-10-08 С
5.8Уязвимость операционной системы Cisco NX-OS, связанная с распределением ресурсов без ограничений и регулирования, позвол2026-10-07 С
7.1Уязвимость функции wts_read_drdynvc_data_first() RDP-клиента FreeRDP, позволяющая нарушителю вызвать отказ в обслуживани2026-10-01 С
8.2Уязвимость RDP-клиента FreeRDP, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в о2026-09-29 К
9.3Уязвимость функции system() компонента HNAP CGI Handler микропрограммного обеспечения маршрутизатора D-Link DIR-868L, по2026-09-28 В
8.1Уязвимость функции git.clone() плагина blockUnsafeOperationsPlugin библиотеки simple-git программной платформы Node.js, 2026-09-25 В
7.1Уязвимость функции drive_process_irp_read() RDP-клиента FreeRDP, позволяющая нарушителю вызвать отказ в обслуживании2026-09-23 В
8.6Уязвимость реализации протокола DTLS программных межсетевых экранов Cisco Secure Firewall Threat Defense (FTD) и Cisco S2026-09-16 С
5.3Уязвимость функции get_signing_key_from_jwt() библиотеки PyJWT, позволяющая нарушителю вызвать отказ в обслуживании2026-09-10 В
7.5Уязвимость функции UTF8DataInputJsonParser._reportInvalidToken() библиотеки jackson-core проекта FasterXML, позволяющая 2026-09-10 В
8.7Уязвимость микропрограммного обеспечения устройств релейной защиты и автоматики Reyrolle 7SR5, связанная с распределение2026-09-08 В
8.0Уязвимость интерфейса командной строки (CLI) платформы Microsoft Azure, позволяющая нарушителю выполнить произвольный ко2026-09-08 В
7.2Уязвимость системы выявления и устранения угроз FortiSandbox, связанная с непринятием мер по очистке данных на управляющ2026-09-08 С
2.0Уязвимость компонента Dialplan Editor системы управления IP-телефонией FusionPBX, позволяющая нарушителю выполнить произ2026-09-05 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с неограниченным распределением ресурсов, позволяющая нарушител2026-09-02 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с неограниченным распределением ресурсов, позволяющая нарушител2026-09-01 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с неограниченным распределением ресурсов, позволяющая нарушител2026-09-01 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с неограниченным распределением ресурсов, позволяющая нарушител2026-09-01 В
7.5Уязвимость обработчика /oauth/backchannel-logout веб-интерфейса на базе искуственного интеллекта Open WebUI, позволяющая2026-08-26 С
5.9Уязвимость модуля CMP библиотеки OpenSSL, позволяющая нарушителю вызвать отказ в обслуживании2026-08-25 В
7.5Уязвимость модуля реализации протокола QUIC библиотеки OpenSSL, позволяющая нарушителю вызвать отказ в обслуживании2026-08-25 С
7.4Уязвимость функции formexeCommand() микропрограммного обеспечения маршрутизаторов Tenda CH22, позволяющая нарушителю вып2026-08-23 С
7.4Уязвимость функции formeditFileName() микропрограммного обеспечения маршрутизаторов Tenda CH22, позволяющая нарушителю в2026-08-23 В
8.5Уязвимость файла /bin/ssi компонента DHMAPI микропрограммного обеспечения маршрутизатора D-Link R95, позволяющая нарушит2026-08-23 В
8.7Уязвимость функции appendElement() модуля определения способа доступа к документам XML и управления ими XMLDOM, позволяю2026-08-22 В
8.4Уязвимость ядра операционной системы Linux, связанная с выделением неограниченной памяти, позволяющая нарушителю вызвать2026-08-21 С
7.4Уязвимость функции formcreateFileName() файла /goform/formcreateFileName микропрограммного обеспечения маршрутизаторов T2026-08-20 С
5.3Уязвимость программного средства сборки контейнеров BuildKit, связанная с неограниченным распределением ресурсов, позвол2026-08-19 К
8.8Уязвимость разговорного помощника на базе искусственного интеллекта Microsoft Copilot Web, связанная с непринятием мер п2026-08-18 С
5.5Уязвимость ядра операционной системы Linux, связанная с неосвобождением ресурса после истечения действительного срока ег2026-08-18 С
7.4Уязвимость функции system файла /cgi-bin/New_GUI/Set/Diagnostics.asp компонента Diagnostics микропрограммного обеспечени2026-08-14 В
8.7Уязвимость функций ArrayBuffer, SharedArrayBuffer и TypedArray библиотеки vm2 пакетного менеджера NPM, позволяющая наруш2026-08-14 В
8.8Уязвимость утилиты для передачи и синхронизации файлов Rsync, связанная с неограниченным распределением ресурсов, позвол2026-08-13 С
6.5Уязвимость функции проверки данных Observability сервиса визуализации данных Kibana, позволяющая нарушителю вызвать отка2026-08-13 В
8.7Уязвимость утилиты для передачи и синхронизации файлов Rsync, связанная с неконтролируемым расходом ресурсов, позволяюща2026-08-13 С
6.5Уязвимость функции визуализации сервиса визуализации данных Kibana, позволяющая нарушителю вызвать отказ в обслуживании2026-08-13 С
6.5Уязвимость операции формирования отчетов коннектора сервиса визуализации данных Kibana, позволяющая нарушителю вызвать о2026-08-13 С
6.5Уязвимость сервиса визуализации данных Kibana, связанная с неограниченным распределением ресурсов, позволяющая нарушител2026-08-13 В
8.8Уязвимость текстового редактора vim, связанная с использованием неполного чёрного списка, позволяющая нарушителю выполни2026-08-11 В
7.5Уязвимость технологии удалённого вызова процедур Remote Procedure Call (RPC) операционных систем Windows, позволяющая на2026-08-11 К
8.8Уязвимость службы Active Directory Domain Services операционной системы Windows, позволяющая нарушителю выполнить произв2026-08-11 В
8.8Уязвимость функции formCertListInfo() файла /goform/CertListInfo микропрограммного обеспечения маршрутизаторов Tenda CH22026-08-09 С
5.5Уязвимость ядра операционной системы Linux, связанная с неосвобождением ресурса после истечения действительного срока ег2026-08-06 С
5.5Уязвимость ядра операционной системы Linux, связанная с неосвобождением ресурса после истечения действительного срока ег2026-08-06Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-77 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
