slug: cwe-89
Explanation
CWE-89は「Webアプリがユーザー入力をきちんとパラメータ化せずにSQL文に埋め込んでしまう欠陥」のことです。
攻撃者はSQL文の構造を書き換えてデータベースを直接操作でき、全ユーザーのID/パスワードを抜く・データ改ざん・データベース全削除など何でもされます。
対策は「プリペアドステートメント (パラメータ化クエリ)」を必ず使うこと。
📌 Example
Equifax事件 (2017): 米国最大の信用情報機関で1.4億人の個人情報流出。直接的にはApache Strutsの脆弱性だったが、SQLi脆弱性を経由した類似事件は無数にある。
🔗 Related links
🔖 Related tags
🛡 Vulnerabilities tagged with this 4,173
| Image | ID | Title |
|---|---|---|
| CVE-2017-5519 | SQL Injection in GeniXCMS (CVE-2017-5519) | |
| CVE-2010-0605 | SQL Injection in Enhancesoft (CVE-2010-0605) | |
| CVE-2009-2361 | SQL Injection in Enhancesoft (CVE-2009-2361) |
