Inyección de comandos
Vulnerabilidad en la que la entrada del usuario se ejecuta como comando en una shell o llamada del sistema operativo subyacente.
Clásico: en PHP system("ping ".$ip). El usuario escribe 1.1.1.1; cat /etc/passwd. Defensas: nunca construyas cadenas de comandos a partir de la entrada, usa APIs parametrizadas y valida de forma estricta. OWASP A03:2021 Injection.