Introducción

Los fallos de inyección se encuentran entre los problemas de seguridad de software más peligrosos y persistentes. Ocurren cuando una entrada no confiable se pasa directamente a consultas, comandos o intérpretes de código sin la validación o el escape adecuados. Esto puede llevar a un acceso no autorizado, corrupción de datos o compromiso total del sistema.

Mientras que las herramientas SAST tradicionales se centran en lenguajes comunes como JavaScript, Python o Java, el motor de calidad de código impulsado por IA de Aikido ahora detecta vulnerabilidades de inyección en lenguajes que las herramientas SAST suelen pasar por alto, como Perl, Haskell, Groovy, Erlang, Zig, Delphi, PowerShell, COBOL, ABAP, Visual Basic, Pascal y ColdFusion.

Esta regla asegura que, independientemente del lenguaje que utilice su equipo, la construcción insegura de consultas o comandos sea detectada antes de llegar a producción.

Por qué es importante

Los fallos de inyección siguen siendo uno de los riesgos de seguridad del Top 10 OWASP.

Son fáciles de introducir, pero a menudo difíciles de detectar mediante revisión manual, especialmente en lenguajes heredados o menos comunes.

Sin salvaguardias:

• Los atacantes pueden inyectar comandos SQL o del sistema operativo en cadenas construidas dinámicamente.
• Los datos sensibles pueden ser exfiltrados o destruidos.
• Sistemas enteros pueden ser comprometidos si la ejecución de código es posible.

Al aplicar esta regla, cada fragmento de código que construye consultas o comandos debe utilizar API parametrizadas, bibliotecas seguras o funciones Escape, lo que reduce drásticamente la superficie de ataque.

❌ Ejemplo no conforme

A continuación se muestra un ejemplo en PowerShell, pero el mismo problema aparece en muchos lenguajes.

# Inseguro: entrada del usuario concatenada directamente en un comando del sistema
$userInput = Read-Host "Introduce el nombre de usuario"
Invoke-Expression ("net user " + $userInput)

Por qué esto es inseguro: Invoke-Expression ejecuta un comando construido dinámicamente.

Un atacante podría introducir john && del C:\* /Q y causar un comportamiento destructivo.

✅ Ejemplo conforme

# Safe: use parameterized or validated command execution
$userInput = Read-Host "Enter username"

if ($userInput -match '^[a-zA-Z0-9_-]+$') {
    Start-Process "net" -ArgumentList "user", $userInput
} else {
    Write-Host "Invalid input"
}

¿Por qué esto es seguro?

• Los argumentos de comando se pasan como una lista, no como una cadena concatenada.
• La entrada se valida utilizando una regex de lista blanca.
• Ningún dato no confiable llega a la shell sin escapar.

Pruébalo en Aikido Security

Puede habilitar esta regla directamente en la herramienta Code Quality de Aikido.

Una vez activa, escanea automáticamente en busca de patrones de inyección en todos los lenguajes compatibles, incluidos aquellos sin cobertura SAST nativa.

Cada vez que un desarrollador abre una pull request:

• El sistema revisa el código nuevo y modificado.
• Señala cualquier uso de concatenación o interpolación de cadenas dentro de llamadas a comandos, consultas o intérpretes.
• El informe destaca la línea exacta y proporciona una sugerencia de solución breve (por ejemplo, “Utilice APIs parametrizadas o entradas validadas”).

Esta regla se ejecuta en cada PR, asegurando una protección consistente incluso en repositorios con lenguajes mixtos.

Conclusión

La construcción dinámica de cadenas es uno de los errores más simples que pueden llevar a brechas de seguridad críticas.

Al detectar la concatenación insegura y aplicar prácticas seguras de construcción de consultas, esta regla previene clases enteras de ataques de inyección antes de que lleguen a producción.

Independientemente del lenguaje, el análisis inteligente de Aikido combina la protección estática y asistida por IA para cubrir más terreno del que las herramientas tradicionales podrían abarcar.