search

hanaalkadri / educom-webshop-database

0 stars 0 forks source link

Code is vatbaar voor SQL injectie #20

Open JeroenHeemskerk opened 1 year ago

JeroenHeemskerk commented 1 year ago

In de code hieronder wordt data van de user direct aan een SQL query gekoppeld, dit is ZEER GEVAARLIJK!! hiermee kunnen hackers toegang krijgen tot je database.

https://github.com/hanaalkadri/educom-webshop-database/blob/a66949a69e9b0c6c8397fb42d04e2941194ae29b/database_repository.php#L20 https://github.com/hanaalkadri/educom-webshop-database/blob/a66949a69e9b0c6c8397fb42d04e2941194ae29b/database_repository.php#L39 https://github.com/hanaalkadri/educom-webshop-database/blob/a66949a69e9b0c6c8397fb42d04e2941194ae29b/database_repository.php#L60 https://github.com/hanaalkadri/educom-webshop-database/blob/a66949a69e9b0c6c8397fb42d04e2941194ae29b/database_repository.php#L75-L76 https://github.com/hanaalkadri/educom-webshop-database/blob/a66949a69e9b0c6c8397fb42d04e2941194ae29b/database_repository.php#L160 Om te voorkomen dat we een database injectie moet je alle data "filteren" met de functie mysqli_real_escape_string bijv. voor regel 20 komt:

  $email = mysqli_real_escape_string($conn, $email);