実行するOSコマンドの一部にユーザからの入力を用いるWebアプリケーションに対して、システムが想定していない入力値を与えることで任意のシェルスクリプトやファイルを実行させる攻撃。