Une injection SQL survient quand des données saisies sont insérées dans une requête SQL comme du code. Un attaquant peut alors lire, modifier ou supprimer des données. La cause est la concaténation de texte non maîtrisé dans la requête ; la parade est la requête paramétrée.
Exemple
query = "SELECT * FROM users WHERE name = '" + nom + "'" # vulnérable