コマンドインジェクション
利用者の入力が、下層のシェルやOS呼び出しでそのままコマンドとして実行されてしまう脆弱性。
古典的な例はPHPの system("ping ".$ip) だ。利用者が 1.1.1.1; cat /etc/passwd と入力すれば、後半も実行される。対策は、入力からコマンド文字列を組み立てないこと、パラメータ化されたAPIを使うこと、入力を厳格に検証することだ。OWASP Top 10 2021のA03（インジェクション）に含まれる。
利用者の入力が、下層のシェルやOS呼び出しでそのままコマンドとして実行されてしまう脆弱性。
古典的な例はPHPの system("ping ".$ip) だ。利用者が 1.1.1.1; cat /etc/passwd と入力すれば、後半も実行される。対策は、入力からコマンド文字列を組み立てないこと、パラメータ化されたAPIを使うこと、入力を厳格に検証することだ。OWASP Top 10 2021のA03（インジェクション）に含まれる。