Paweł Goleń, blog

Jest sobie zapytanie SQL typu: SELECT DISTINCT * FROM tabela ORDER BY kolumna. Atakujący kontroluje parametr kolumna, baza to MS SQL. "Klasyczny" atak nie zadziała właśnie z powodu owego DISTINCT, przy próbie pojawi się błąd: ORDER BY items must appear in the select list if SELECT DISTINCT is specified. Jest to przykład ewidentnego błędu CWE-89: Failure to Preserve SQL Query Structure (aka 'SQL Injection'), niezależnie od tego, czy w tym konkretnym przypadku pozwala to na atak metodą sql injection, czy nie.