C09-T001 · Injections
SQL injection
« SQL injection » : Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C09-T001 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les contrôleurs, validateurs, modèles et vues du parcours concerné le réglage ou le parcours associé à « SQL injection ». Notez la valeur actuelle et les cas qui en dépendent.
- Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
- Vérifiez le résultat sur le même périmètre : le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée. Conservez la preuve et relancez C09-T001 dans AxiSecurity.
Preuve attendue
le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée.