Injection de Code.

Famille de vulnérabilités où des données fournies par l'attaquant sont interprétées et exécutées comme du code par l'application, menant à une exécution arbitraire. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Famille de vulnérabilités où des données fournies par l'attaquant sont interprétées et exécutées comme du code par l'application, menant à une exécution arbitraire.

L'injection de code est la grande famille de failles dans lesquelles une entrée non fiable est intégrée à un élément que l'application traite ensuite comme du code, de la configuration ou du balisage, ce qui amène le runtime à l'exécuter. Cas concrets : injections basées sur eval en JavaScript ou Python, injection de templates côté serveur, injections de langages d'expression (OGNL, SpEL), désérialisation non sûre déclenchant des chaînes de gadgets, et chargement dynamique de classes depuis des données utilisateur. Une exploitation réussie procure typiquement l'exécution distante de code sous l'identité de l'application, souvent tremplin vers la compromission de l'hôte ou du cluster. Les défenses incluent ne jamais construire de code depuis l'entrée, des API paramétrées, le verrouillage des fonctionnalités dynamiques et le moindre privilège avec sandboxing.

Les défenses contre Injection de Code combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Exécution de code à distance, Exécution arbitraire de code.