L'exploitation des vulnérabilités applicatives est devenue le principal vecteur d'atteinte à la sécurité, surpassant le vol d'identifiants. Ces vulnérabilités résultent souvent de lignes de code qui n'ont pas été écrites avec la sécurité en tête dès le départ, soulignant que la sécurité logicielle est une composante de la qualité, au même titre que la performance ou la maintenabilité. L'article identifie six pièges récurrents chez les clients, la première étant l'injection SQL.

L'injection SQL permet à un attaquant d'exécuter des commandes SQL arbitraires en manipulant les données d'entrée. Un exemple concret est la brèche TalkTalk en 2015, causée par une injection SQL sur des pages web héritées, entraînant une amende record pour l'entreprise. La remédiation passe par l'utilisation de requêtes paramétrées, qui séparent clairement la requête SQL des données, empêchant l'interprétation malveillante des entrées.

L'utilisation d'ORM ou d'annotations Java spécifiques, comme celles de Spring Data JPA, peut empêcher structurellement les injections SQL, car les valeurs des annotations doivent être des expressions constantes évaluables à la compilation. L'impact métier de telles vulnérabilités inclut l'accès non autorisé aux données, des répercussions directes sur les clients et des problèmes de conformité, notamment avec le RGPD.