NoSQL Injection

Définition

L'injection NoSQL est une vulnérabilité applicative permettant à un attaquant d'altérer la logique d'une requête adressée à une base de données non relationnelle, comme MongoDB, Couchbase ou Redis, en injectant des opérateurs ou des structures de requête non prévues via des champs de saisie insuffisamment validés. Contrairement à l'injection SQL classique, elle exploite souvent la nature typée du langage de requête, par exemple en soumettant un objet JSON contenant un opérateur MongoDB comme dollar-ne ou dollar-gt à la place d'une chaîne de caractères attendue, permettant de contourner une vérification d'authentification ou d'extraire des données non autorisées. Cette classe de vulnérabilité relève de la catégorie A03:2021 du OWASP Top 10 relative aux injections. Elle est fréquente dans les applications construites avec des frameworks JavaScript où les paramètres de requête HTTP sont directement transmis à la couche de persistance sans validation stricte de type. En défense, la validation systématique du type et de la structure attendue des entrées utilisateur, l'utilisation de requêtes paramétrées ou d'ORM appliquant un échappement natif, la désactivation de l'exécution de JavaScript côté serveur dans MongoDB via l'option correspondante, et le principe de moindre privilège sur les comptes applicatifs de base de données constituent les contre-mesures principales, complétées par une journalisation des requêtes anormales pour la détection.