Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - GMO Flatt Security Blog
※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。 通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。 ほぼすべてのオンラ
こういうWebプログラマって月20万くらい払えば来てくれるの？
git/GitHubが使える ひとりで開発するときに使うコマンドが使える 調べれば、チームで開発するときに使うコマンドが使えるPHPが使える 細かいのはphp.netで調べれば大体わかるフレームワーク（Symfony2+Doctrine+Twig、できれば3も）マイクロフレームワークの経験（趣味・実務どちらでも）MySQLが使える CRUDができてインデックスはれて簡単なテーブルなら設計できるJavaScriptが使える jQueryとフレームワーク（React、Vueのいずれか）が使える相談しながら、要件定義→基本設計→（詳細設計→）実装できる仕様どおりに作って締め切り守れるなら、実務経験年数は0でなければいいリモートワーク可。地方在住でもOKプライベートでも勉強してる（ペースは問わない）学歴不問要は「PHP+MySQL+JavaScriptで頼んだWebシステムを作ってくれる」人に来て
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
