Code-Injection.

Schwachstellenklasse, bei der vom Angreifer gelieferte Daten von einer Anwendung als Code interpretiert und ausgeführt werden, was beliebige Ausführung im Kontext erlaubt. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Schwachstellenklasse, bei der vom Angreifer gelieferte Daten von einer Anwendung als Code interpretiert und ausgeführt werden, was beliebige Ausführung im Kontext erlaubt.

Code-Injection ist die breite Familie von Schwachstellen, bei denen unvertrauenswürdige Eingaben in etwas einfließen, das die Anwendung später als Programmcode, Konfiguration oder Markup behandelt, sodass die Laufzeit es ausführt. Konkrete Beispiele sind eval-basierte Injection in JavaScript und Python, serverseitige Template-Injection, Expression-Language-Injection (OGNL, SpEL), unsichere Deserialisierung mit Gadget-Chains und dynamisches Klassenladen aus Nutzerdaten. Erfolgreiche Ausnutzung führt meist zu Remote Code Execution unter der Anwendungsidentität — oft der erste Schritt zur Übernahme des Hosts oder Clusters. Schutz bieten der vollständige Verzicht auf Code-Konstruktion aus Eingaben, parametrisierte APIs, eingeschränkte Dynamik und konsequente Least-Privilege-Laufzeit mit Sandboxing.

Schutzmaßnahmen gegen Code-Injection kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Remote Code Execution, Beliebige Code-Ausführung.