A05:2025 – Injectare
Injection
Injectarea apare atunci când datele furnizate de utilizator nu sunt validate, filtrate sau sanitizate corespunzător. Atacatorii pot trimite date ostile ca parte a unei comenzi sau interogări, permițând executarea de cod neautorizat.
Principalele tipuri de injectare includ:
- SQL Injection - inserare de comenzi SQL în câmpuri de intrare
- OS Command Injection - executare de comenzi de sistem
- LDAP Injection - manipularea interogărilor LDAP
- XML/XPath Injection - injectare în documente XML
- NoSQL Injection - atacuri asupra bazelor NoSQL
- Template Injection - injectare în motoare de template
A descinde din poziția A03:2021 la A05:2025, dar rămâne o vulnerabilitate critică prezentă în aproximativ 94% din aplicațiile testate cu o rată medie de incidență de 3.24%.
Statistici OWASP 2025: Injectarea afectează practic toate aplicațiile web și rămâne una din cele mai frequente și periculoase vulnerabilități.
1. SQL Injection
SELECT * FROM users WHERE id = {id}
Dacă id este "1 OR 1=1" fără validare, va returna toți utilizatorii. SQL Injection permite recuperarea, modificarea sau ștergerea datelor.
2. OS Command Injection
exec("ping -c " + userInput)
Dacă userInput este "8.8.8.8; rm -rf /", va executa comanda malware. Permite execuția de comenzi arbitrare pe server.
3. NoSQL Injection
{username: username, password: password}
Inputuri cum ar fi {"$ne": ""} permit bypass-ul autentificării în bazele NoSQL.
4. LDAP Injection
Inputuri malware în căutări LDAP permit eludarea autentificării și extragerea de informații din directoare.
5. Template Engine Injection
{{{7*7}}}
Serverul evaluează expresia și returnează 49. Template injection poate permite execuția de cod pe server din template-uri nevalidate.
6. XPath Injection
xpath_query = "//user[username='" + user_input + "']"
Inputuri cum ar fi "' or '1'='1" permit bypaszarea autentificării în documente XML. Permite efiltrarea de date sensibile din DOM.
7. Expression Language (EL) Injection
${{message}} // JSF / Spring message
Dacă message vine din user input fără validare, un atacator poate injecta expresii care accesează variabile sensibile sau execută cod.