Request Injection Attacks

If you are passing $_GET (or $_POST) parameters to your queries, make sure that they are cast to strings first. Users can insert associative arrays in GET and POST requests, which could then become unwanted $-queries.

A fairly innocuous example: suppose you are looking up a user's information with the request http://www.example.com?username=bob. Your application creates the query $q = new \MongoDB\Driver\Query( [ 'username' => $_GET['username'] ]).

Someone could subvert this by getting http://www.example.com?username[$ne]=foo, which PHP will magically turn into an associative array, turning your query into $q = new \MongoDB\Driver\Query( [ 'username' => [ '$ne' => 'foo' ] ] ), which will return all users not named "foo" (all of your users, probably).

This is a fairly easy attack to defend against: make sure $_GET and $_POST parameters are the type you expect before you send them to the database. PHP has the filter_var() function to assist with this.

Note that this type of attack can be used with any database interaction that locates a document, including updates, upserts, deletes, and findAndModify commands.

See » the main documentation for more information about SQL-injection-like issues with MongoDB.

Hier Kannst Du einen Kommentar verfassen


Bitte gib mindestens 10 Zeichen ein.
Wird geladen... Bitte warte.
* Pflichtangabe
Es sind noch keine Kommentare vorhanden.

Was genau bedeutet "Vibe Coding"? Ein tiefgehender Blick für Entwickler

In der Welt der Softwareentwicklung gibt es unzählige Wege, wie man an ein Projekt herangeht. Manche schwören auf strikte Planung, andere auf bewährte Algorithmen und wieder andere lassen sich von etwas ganz anderem leiten: ihrem Gefühl. ...

admin

Autor : admin
Kategorie: Software & Web-Development

PHP cURL-Tutorial: Verwendung von cURL zum Durchführen von HTTP-Anfragen

cURL ist eine leistungsstarke PHP-Erweiterung, die es Ihnen ermöglicht, mit verschiedenen Servern über verschiedene Protokolle wie HTTP, HTTPS, FTP und mehr zu kommunizieren. ...

TheMax

Autor : TheMax
Kategorie: PHP-Tutorials

Midjourney Tutorial - Anleitung für Anfänger

Über Midjourney, dem Tool zur Erstellung digitaler Bilder mithilfe von künstlicher Intelligenz, gibt es ein informatives Video mit dem Titel "Midjourney Tutorial auf Deutsch - Anleitung für Anfänger" ...

Mike94

Autor : Mike94
Kategorie: KI Tutorials

Tutorial veröffentlichen

Tutorial veröffentlichen

Teile Dein Wissen mit anderen Entwicklern weltweit

Du bist Profi in deinem Bereich und möchtest dein Wissen teilen, dann melde dich jetzt an und teile es mit unserer PHP-Community

mehr erfahren

Tutorial veröffentlichen

Suche nach Best Practices zur Leistungsoptimierung von PHP-Skripten!!

Hallo zusammen, Ich habe an einem Projekt mit einigen komplexen PHP-Skripten gearbeitet und mir sind Leistungsprobleme aufgefallen, insbesondere ...

Geschrieben von Isabellay am 30.05.2025 09:41:02
Forum: PHP Developer Forum
Variable Gültigkeit in Blöcken

That's a sharp observation! You're absolutely right – the core issue isn't where the console.log() is placed, but when it executes relative to w ...

Geschrieben von Bendomenech68 am 30.05.2025 09:28:17
Forum: HTML, JavaScript, AJAX, jQuery, CSS, Bootstrap, LESS
Eingabe in einer Datenbank

Schön, dass du dich mit SQL und PHP beschäftigst. Wenn die Ausgabe aus der Datenbank schon funktioniert, aber die Eingabe nicht, kann es tatsäc ...

Geschrieben von karina am 30.05.2025 09:14:22
Forum: SQL / Datenbanken
Mailversand aus Kontaktformular mit Datei Upload / Technischer Ablauf php / EU-Recht

Regarding the technical process: For most contact forms with file upload, the file is first temporarily stored on the server so it can be attached ...

Geschrieben von lyraellington12 am 30.05.2025 09:08:05
Forum: PHP Developer Forum