베타 Shoulder는 베타 버전입니다 — 결과가 가끔 잘못될 수 있습니다. 여러분의 피드백이 다음에 무엇을 고칠지 결정합니다. 피드백 공유
#5 A05:2025

Injection

Injection flaws occur when an application sends hostile data to an interpreter. This includes SQL, NoSQL, OS command, ORM, LDAP, and Expression Language injection.

개요

Falls from #3 to #5 in 2025. Injection remains one of the most tested categories, covering issues from Cross-site Scripting (high frequency/low impact) to SQL Injection (low frequency/high impact).

공격자가 이것을 악용하는 방법

공격 패턴을 이해하면 더 나은 방어를 구축하는 데 도움이 됩니다. 이것들은 보안 팀이 주시하는 기술입니다.

SQL query manipulation

User input is incorporated into database queries without proper sanitization, allowing attackers to modify query logic or extract unauthorized data.

탐지 신호: Database errors in responses, unusual query patterns in logs, timing anomalies

Command execution

User input flows into system commands, allowing attackers to execute arbitrary commands on the server.

탐지 신호: Unexpected process spawns, unusual system calls in audit logs

Cross-site scripting (XSS)

User content is reflected or stored in web pages without encoding, allowing script execution in other users' browsers.

탐지 신호: Script tags or event handlers appearing in user-generated content

예방 방법

  • Use a safe API which avoids using the interpreter entirely
  • Use parameterized queries or prepared statements
  • Use positive server-side input validation
  • Escape special characters for any residual dynamic queries
  • Use LIMIT and other SQL controls to prevent mass disclosure
  • Use Content Security Policy to mitigate XSS impact

Shoulder 탐지가 있는 CWE (9)

이 CWE들은 Shoulder 탐지 규칙이 있습니다. 클릭하여 특정 취약점과 수정 사항을 확인하세요.

기타 매핑된 CWE (24)

이 CWE들은 이 카테고리에 매핑되어 있지만 아직 Shoulder 규칙이 없습니다.