J’avoue que le titre de cette note est quelque peu alarmiste. C’est avant tout pour retenir l’attention et marquer les développeurs qui se croient à l’abri de ce genre d’attaque parce qu’ils utilisent Hibernate.

En effet, l’utilisation de ce framework ne vous protège pas forcément des injections SQL comme le rappelle TSS dans son article intitulé « Une légende urbaine à propos d’Hibernate« .

L’auteur explique que la création de requête SQL par concaténation de chaîne de caractères rend possible les attaques par injection de code SQL. Et ce même si vous utilisez Hibernate (contrairement à ce que certaines personnes semblent croire) ! Alors, comment s’en protéger ?

Pour empêcher les injections SQL, il suffit d’utiliser les paramètres nommés lors de la création de requête SQL. Ce genre de pratique est une bonne habitude à avoir.

Donc n’oubliez pas d’utiliser les paramètres SQL plutôt que de construire la requête SQL à la main ! Ce message ne s’adresse pas seulement aux utilisateurs d’Hibernate, ni qu’aux développeurs Java par ailleurs. 😉

SeBHibernatehibernate,securité,SQLJ'avoue que le titre de cette note est quelque peu alarmiste. C'est avant tout pour retenir l'attention et marquer les développeurs qui se croient à l'abri de ce genre d'attaque parce qu'ils utilisent Hibernate. En effet, l'utilisation de ce framework ne vous protège pas forcément des injections SQL comme le...Un blog, c'est un blog !