CAPEC-242 è un pattern di attacco di code injection: un attaccante fornisce input che un programma in seguito tratta come codice eseguibile. Il fallimento di base non è nel codice stesso, ma nella gestione non sicura dei dati. Quando le applicazioni costruiscono comandi, script, query o modelli a partire da input non attendibili senza una rigorosa convalida e senza escaping sensibile al contesto, tale input può modificare il comportamento del programma e attivare l'esecuzione arbitraria.
Questo è importante perché la code injection spesso trasforma un piccolo bug di input in un compromesso completo del sistema. Negli attacchi reali, si manifesta in moduli web, console di gestione, parametri API e altre interfacce in cui i dati controllati dall'utente raggiungono un interprete o un runtime. I difensori riducono il rischio con allowlist, API parametrizzate, codifica dell'output, sandboxing ed esecuzione con privilegi minimi. Negli apparati di sicurezza e negli strumenti di amministrazione, l'impatto può essere particolarmente grave perché una injection riuscita può esporre il piano di controllo, offrendo agli attaccanti accesso diretto alla configurazione critica e alla gestione del dispositivo.