Injection ORM.

Injection visant les applications utilisant un ORM, qui abuse des requetes dynamiques, du mass-assignment ou des echappatoires SQL brutes pour manipuler l'acces aux donnees. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Injection visant les applications utilisant un ORM, qui abuse des requetes dynamiques, du mass-assignment ou des echappatoires SQL brutes pour manipuler l'acces aux donnees.

L'injection ORM survient lorsqu'une entree influence par l'attaquant atteint un ORM (Hibernate, Entity Framework, SQLAlchemy, ActiveRecord, Sequelize, Prisma, Django ORM) via des API qui construisent des requetes dynamiquement. Schemas vulnerables : concatenation HQL/JPQL, where(string) interpole en ActiveRecord, Op.literal de Sequelize, text() formate en SQLAlchemy, mass-assignment d'attributs non prevus, parametres de tri ou de filtre dangereux issus d'API JSON. Les consequences vont de l'injection SQL classique au contournement d'autorisation lorsque les controles vivent dans la couche ORM. Parades : query builders parametres, listes blanches strictes pour les champs triables/filtrables, autorisation explicite des attributs et evitement des echappatoires brutes pour les entrees non fiables.

Les défenses contre Injection ORM combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Injection HQL, Injection JPQL.