Materi
Injeksi terjadi ketika masukan tak tepercaya ikut dijalankan sebagai perintah. Kelas ini hanya MENGENALI tandanya dari hasil, bukan merakit muatan; perbaikan kodenya ada di kelas pemrograman-web-aman. WSTG menjelaskan tanda awal injeksi SQL: saat satu kutip tunggal disisipkan ke sebuah medan, aplikasi yang rentan membalas dengan pesan galat basis data (misalnya menyebut 'SQL syntax' atau 'unclosed quotation mark'). Pesan galat itu sendiri tanda bahwa masukan sampai ke kueri tanpa disaring. Aplikasi yang aman tidak menampilkan galat basis data ke pengguna.
Cross-Site Scripting (XSS) reflektif terjadi ketika aplikasi memantulkan masukan pengguna ke halaman respons tanpa meng-encode-nya. WSTG mengenalinya dengan memeriksa apakah karakter khusus HTML — khususnya < > & ' " — muncul utuh di respons, bukan diubah menjadi entitas seperti <. Bila sebuah nilai yang diketik pengguna tampil apa adanya di dalam HTML respons tanpa di-encode, di situ ada celah XSS. Tandanya dibaca dari pasangan request/response: apa yang dikirim, dan bagaimana ia muncul kembali. Contoh respons yang menandakan masukan dipantulkan tanpa di-encode (fiktif):
Permintaan: GET /cari?q=uji123
Respons memuat: <p>Hasil untuk: uji123</p> (nilai q muncul utuh di dalam HTML)
