ORM インジェクション.

ORM を用いるアプリへのインジェクション攻撃。動的クエリ、Mass Assignment、生 SQL のエスケープ経路を悪用してデータ操作を行う。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

ORM を用いるアプリへのインジェクション攻撃。動的クエリ、Mass Assignment、生 SQL のエスケープ経路を悪用してデータ操作を行う。

ORM インジェクションは、Hibernate、Entity Framework、SQLAlchemy、ActiveRecord、Sequelize、Prisma、Django ORM などのクエリ構築 API に、攻撃者が制御できる入力が動的に入り込むときに発生します。脆弱なパターンとして、HQL/JPQL の文字列連結、ActiveRecord の where(string) への補間、Sequelize の Op.literal、SQLAlchemy のフォーマット文字列を含む text()、想定外属性への Mass Assignment、JSON API の安全でないソート/フィルタ引数などがあります。影響は古典的な SQL インジェクションから、ORM 層に認可ロジックがある場合の権限バイパスや昇格にまで及びます。対策はパラメータ化クエリビルダ、ソート/フィルタ可能列の厳格な許可リスト、明示的な strong parameters、信頼できない入力に対する生 SQL エスケープ経路の不使用です。

ORM インジェクション に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: HQL インジェクション, JPQL インジェクション。