Inyección SQL
Un ataque en el que se cuela código SQL a través de un formulario o una dirección para leer, cambiar o borrar datos de la base de datos.
Ocurre cuando un programa construye una consulta pegando directamente el texto que escribe el usuario. Un atacante puede escribir algo como ' OR '1'='1 para cambiar el sentido de la consulta.
La defensa es usar siempre consultas parametrizadas o preparadas: los valores viajan aparte y la base de datos nunca los interpreta como código. OWASP la incluye entre los fallos de seguridad más graves.
Un ejemplo
Un buscador vulnerable podría devolver todos los usuarios de la web si alguien escribe un fragmento de SQL en lugar de un nombre.