Skip to main content

​
user-input-not-validated

Faible Description Les champs de saisie acceptent des données qui violent le type, le format ou la longueur attendus — tels que des lettres dans un champ numérique, des chaînes non-email dans un champ email, ou des chaînes extrêmement longues dans un champ de texte sans limite de longueur. Importance L’absence de validation des entrées peut causer :
  • Des erreurs d’application lorsque des données invalides atteignent le traitement en aval
  • Des violations de contraintes de base de données
  • Un comportement inattendu dans la logique métier
  • Dans certains cas, des critères de performance dus à des entrées extrêmement longues
Bien que moins sévère que les vulnérabilités d’injection, les entrées invalides peuvent déclencher un comportement inattendu du serveur qui facilite une exploitation ultérieure. Comment QAOS le détecte L’agent identifie les champs de formulaire et soumet des charges utiles à type incompatible, à valeur limite et à caractères spéciaux, observant si l’application les accepte ou les rejette :
  • Champs numériques : soumission de lettres et de caractères spéciaux
  • Champs email : soumission de chaînes sans @
  • Champs texte : soumission de chaînes extrêmement longues (10 000+ caractères)
  • Champs bornés : soumission de valeurs aux limites déclarées et au-delà
Exemples 
Champ âge : "vingt-cinq"        ← lettres dans un champ numérique
Champ email : "passunemail"     ← symbole @ manquant
Champ téléphone : "+1 DROP TABLE"    ← caractères spéciaux
Champ commentaire : "A" * 50000      ← chaîne extrêmement longue
Comment corriger Validez toutes les entrées à la fois côté client (pour un retour immédiat à l’utilisateur) et côté serveur (pour la sécurité). La validation côté client seule n’est jamais suffisante. 
// Validation HTML5 intégrée
<input type="number" min="0" max="150" required>
<input type="email" required>
<input type="text" maxlength="500">

// Validation côté serveur avec Zod (TypeScript)
const schema = z.object({
  age: z.number().int().min(0).max(150),
  email: z.string().email(),
  comment: z.string().max(500)
})

// Python avec Pydantic
class UserInput(BaseModel):
    age: int = Field(ge=0, le=150)
    email: EmailStr
    comment: str = Field(max_length=500)
Retournez des messages d’erreur clairs et spécifiques lorsque la validation échoue afin que les utilisateurs sachent quoi corriger.