CWE-134 使用外部控制的格式字符串 类弱点 138 条 CVE 漏洞汇总，含 AI 中文分析。
CWE-134 属于格式化字符串漏洞，指程序将源自外部不可信源的数据直接作为格式化字符串参数使用。攻击者可通过注入特定格式说明符（如 %x、%n）读取栈内存敏感信息或篡改内存数据，导致信息泄露或服务拒绝。开发者应避免直接使用用户输入作为格式化字符串，需采用硬编码格式模板并仅将用户数据作为参数传入，或严格过滤输入内容以消除安全风险。
#include <stdio.h> void printWrapper(char *string) { printf(string); } int main(int argc, char **argv) { char buf[5012]; memcpy(buf, argv[1], 5012); printWrapper(argv[1]); return (0); }int main(int argc, char **argv){ char buf[128]; ... snprintf(buf,128,argv[1]); }CWE-134（使用外部控制的格式字符串） 是常见的弱点类别，本平台收录该类弱点关联的 138 条 CVE 漏洞。