コマンドインジェクション.

コマンドインジェクション(OS コマンドインジェクション)は、信頼できない入力を連結してシステムコマンドを組み立て、シェルに渡してしまう実装で発生します。;・&・|・$()・バッククォートといったメタ文字を用いて、攻撃者はアプリケーションプロセスの権限で動作する任意のコマンドを連結実行できます。任意ファイルの読み書き、ラテラルムーブメント、リバースシェル、サーバー完全乗っ取りなどの被害が起こり得ます。対策としては、引数配列を受け付ける API を使ってシェル呼び出し自体を避ける、許可リスト方式の検証、信頼できるエスケープライブラリ、サンドボックス化、サービスの最小権限実行、そして被害を限定するためのエグレスフィルタリングが有効です。