SOQL Injection

La ejecución de consultas SOQL con datos procedentes de orígenes que no son de confianza puede permitir el acceso a datos no autorizados.

El lenguaje de consulta de objetos de Salesforce (SOQL, Salesforce Object Query Language) está diseñado para recuperar información específica de la base de datos de la aplicación; no es posible modificar estos datos mediante consultas SOQL.

Se producen errores de inyección de lenguaje de consulta de objetos de Salesforce (SOQL, Salesforce Object Query Language) cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.


2. Los datos se utilizan para crear de forma dinámica una consulta SOQL sin ninguna corrección ni procesamiento previo.
Ejemplo 1: el siguiente código crea y ejecuta una consulta SOQL de forma dinámica que busca contactos con un nombre especificado.

...
public String inputValue {
  get { return inputValue; }
  set { inputValue = value; }
}
...
String queryString = 'SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like \'%' + inputValue + '%\')';
result = Database.query(queryString);
...

Este código pretende ejecutar la consulta de la forma siguiente:

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%inputValue%')

Sin embargo, dado que la consulta se crea dinámicamente mediante la concatenación de una cadena de consulta de base constante y una cadena de entrada del usuario, la consulta solo funciona correctamente si inputValue no contiene un carácter de comilla simple. Si un usuario malintencionado introduce la cadena name') OR (Name like '% para inputValue, entonces la consulta será de la siguiente forma:

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%name') OR (Name like '%%')

Al agregar la condición name') OR (Name like '%, la cláusula where utiliza la condición LIKE '%%', lo que hace que la consulta muestre todos los valores de ID posibles, ya que se convierte lógicamente en el equivalente a esta consulta, mucho más simple:

SELECT Id FROM Contact WHERE ... OR (Name like '%%')

A diferencia de la mayoría de las interfaces de bases de datos, en la plataforma force.com SOQL no admite múltiples instrucciones SOQL separadas por punto y coma, lo que significa que no es posible concatenar varios comandos en una sola consulta, como ocurre con los ataques regulares de SQL Injection. Además, tenga en cuenta que la base de datos Apex no admite comentarios, por lo que es necesario emparejar todas las comillas simples, paréntesis o cualquier otro carácter especial.