Injection SQL
SQLi · SQL injection · injection de code SQL · injection SQL aveugle · blind SQL injection
Attaque qui glisse des instructions de base de données dans un champ de saisie ou une URL pour lire, modifier ou effacer des données auxquelles l’attaquant ne devrait pas avoir accès.
En pratique
La faille survient quand l’application fabrique ses requêtes SQL en y collant directement le texte saisi par l’utilisateur. L’attaquant peut alors contourner une authentification, extraire toute une base clients, voire, dans certains cas, prendre le contrôle du serveur. Connue depuis la fin des années 1990 et simple à corriger, elle figure toujours dans l’OWASP Top 10:2025 (A05, Injection), qui recense plus de 14 000 CVE d’injection SQL.
Fin mai 2023, le groupe Cl0p a exploité une injection SQL encore inconnue (CVE-2023-34362) dans le logiciel de transfert de fichiers MOVEit Transfer. Il a installé une porte dérobée et volé les données de nombreuses organisations dans le monde, avant même que le correctif ne soit disponible.
Comment s’en protéger
- Requêtes paramétrées (requêtes préparées) partout, jamais de concaténation de texte saisi.
- Validation par liste blanche pour ce qui ne peut pas être paramétré (noms de colonnes, ordre de tri).
- Un compte de base de données aux droits minimaux pour l’application.
- Analyse SAST du code et test d’intrusion avant mise en production ; un WAF en complément, jamais en remplacement.
