L'injection SQL passe de la 3e à la 5e place du classement 2025, mais reste l'une des failles les plus exploitées avec plus de 14 000 CVEs recensés. L'OWASP recommande l'usage de requêtes paramétrées, la validation stricte des entrées, et l'intégration d'outils SAST/DAST dans les pipelines CI/CD.
Injection SQLOWASPCVECI/CD
Guide pratique de l'ANSSI destiné aux organisations pour prévenir les fuites de données : chiffrement, contrôle des accès, politique de mots de passe, gestion des habilitations et conduite à tenir en cas d'incident. Directement applicable aux bonnes pratiques de protection des BDD.
ANSSIFuite de donnéesChiffrementHabilitations
Recommandations de l'ANSSI pour sécuriser un CMS (WordPress, Drupal…) : mises à jour, gestion des plugins, droits des utilisateurs, protection des formulaires et des accès base de données. En lien direct avec le stage CNRS où WordPress et les vulnérabilités associées étaient en jeu.
ANSSICMSWordPressSécurité BDD
Guide de l'ANSSI dédié à la sécurisation des SGBD relationnels : principe du moindre privilège, séparation des comptes applicatifs, chiffrement des données sensibles, journalisation et audit. Ce guide synthétise les pratiques que j'ai appliquées en stage (MySQL, PostgreSQL).
ANSSISGBDMoindre privilègePostgreSQLMySQL
L'attaque Skeleton Key contourne les garde-fous des LLMs en les persuadant progressivement d'ignorer leurs restrictions. Elle illustre comment les IA peuvent être détournées pour extraire des informations sensibles ou produire du contenu malveillant, posant la question de la sécurité des systèmes qui s'appuient sur des modèles de langage pour accéder à des données.
LLMJailbreakPrompt injectionIA
La sécurité des données et la sécurité des systèmes IA sont désormais indissociables. L'article introduit de nouvelles menaces : empoisonnement de données d'entraînement, model inversion, prompt injection. Il propose un cadre de défense en profondeur couvrant l'ensemble du cycle de vie ML, du RBAC à la surveillance continue.
IAModel PoisoningRBACDefense in depth
La plateforme mesrdv.etudiant.gouv.fr a été compromise, exposant les données de 774 000 étudiants sur une décennie. 139 000 d'entre eux ont vu leurs pièces jointes (passeports, cartes d'identité) exfiltrées. L'incident illustre les conséquences d'une mauvaise protection des bases de données publiques et d'un manque de segmentation des accès.
Fuite de donnéesService publicRGPDExfiltration
Malgré la promesse des ORM d'éliminer les injections SQL, 18% des applications les utilisant restent vulnérables. Des CVEs critiques ont été identifiés sur Django (CVE-2024-42005), Rails ActiveRecord et Hibernate. Le faux sentiment de sécurité induit par les ORM est le principal facteur de risque.
ORMDjangoCVE-2024-42005Injection SQL