search

Dabra720 / educom-webshop-database

0 stars 0 forks source link

Code is vatbaar voor SQL injectie #10

Open JeroenHeemskerk opened 1 year ago

JeroenHeemskerk commented 1 year ago

Doordat je hier de inhoud van een webformulier in een SQL string plakt is je code vatbaar geworden voor SQL injectie https://github.com/Dabra720/educom-webshop-database/blob/646063c414cf0f50b2ad79098f3c95709f78cc53/file_repository.php#L5 https://github.com/Dabra720/educom-webshop-database/blob/646063c414cf0f50b2ad79098f3c95709f78cc53/file_repository.php#L21

Het is nodig om de voor SQL schadelijke karakters te verwijderen, dit gaat met de functie mysqli_real_escape_string alsvolgt

   $email = mysqli_real_escape_string($conn, $email);