Définition
L'injection SQL est une faille qui permet à un attaquant de glisser des commandes de base de données dans un champ de saisie ordinaire, comme un formulaire de connexion, parce que l'application les transmet sans les contrôler. Il peut alors lire, modifier ou supprimer l'intégralité des données. Connue depuis plus de vingt ans, elle figure toujours parmi les failles les plus exploitées.
Dans la pratique
La protection est bien connue des développeurs expérimentés : requêtes préparées et ORM, jamais de concaténation de texte dans une requête. Sa présence dans un audit révèle une équipe sans revue de code ni outillage SAST, ce qui en dit plus que la faille elle-même.
Termes liés
Définition rédigée par L'équipe Top Profil. Glossaire mis à jour le . Tous les termes du glossaire.