Injeção de Código.

Classe de vulnerabilidades em que dados fornecidos pelo atacante são interpretados e executados como código pela aplicação, levando a execução arbitrária no seu contexto. Pertence à categoria Ataques e ameaças da cibersegurança.

Classe de vulnerabilidades em que dados fornecidos pelo atacante são interpretados e executados como código pela aplicação, levando a execução arbitrária no seu contexto.

A injeção de código é a família ampla de falhas em que entrada não confiável é incorporada a algo que a aplicação trata posteriormente como código, configuração ou marcação, fazendo com que o runtime a execute. Exemplos concretos incluem injeções baseadas em eval em JavaScript e Python, injeção de templates do lado do servidor, injeções de linguagens de expressão (OGNL, SpEL), desserialização insegura que dispara cadeias de gadgets e carregamento dinâmico de classes a partir de dados do utilizador. A exploração bem-sucedida geralmente concede execução remota de código com a identidade da aplicação, frequentemente o trampolim para comprometer o host ou cluster. As defesas incluem nunca construir código a partir da entrada, APIs parametrizadas, bloquear recursos dinâmicos e aplicar privilégio mínimo com sandboxing.

As defesas contra Injeção de Código costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Execução remota de código, Execução arbitrária de código.