Skip to content

HTTPS clone URL

Subversion checkout URL

You can clone with
or
.
Download ZIP

Loading…

sql injection lek #3

Open
milovanderlinden opened this Issue · 1 comment

1 participant

@milovanderlinden

De functies voor het lezen en schrijven naar de database zijn niet beveiligd tegen SQL injecties. Theoretisch zou het kunnen dat iemand een gemanipuleerd BAG extract probeert te verwerken dat ondertussen het datamodel kapot maakt.

Zie documentatie voor psycopg2 http://initd.org/psycopg/docs/usage.html

Warning
Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint.
The correct way to pass variables in a SQL command is using the second argument of the execute() method:

SQL = "INSERT INTO authors (name) VALUES (%s);" # Notice: no quotes
data = ("O'Reilly", )
cur.execute(SQL, data) # Notice: no % operator

@milovanderlinden

Ik ben bezig met testen. De eerste stappen ter verbetering zijn hier te zien:

opengeogroep/BAG-Extract@ea78a4a#diff-0

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Something went wrong with that request. Please try again.