Code injection er en sårbarhed inden for it-sikkerhed, hvor en angriber indsætter ondsindet kode i et program, så systemet udfører kommandoer eller scripts uden tilladelse. Det sker typisk, fordi input fra brugerne ikke bliver valideret godt nok eller håndteres forkert. Den indsatte kode forstyrrer de normale funktioner og kan give angriberne adgang uden tilladelse, lade dem ændre følsomme oplysninger eller overtage hele systemer.
Sårbarheden opstår ofte i webapps via metoder som SQL injection, hvor angribere udnytter inputfelter til at indsætte skadelige SQL-kommandoer. En ondsindet bruger kan for eksempel skrive bestemte kommandoer i en loginformular og narre databasen til at udlevere følsomme brugerdata eller give administratoradgang. For at forebygge code injection skal udviklere grundigt validere og rense alt input fra brugerne, bruge sikre programmeringsteknikker som parameteriserede forespørgsler og jævnligt lave sikkerhedstjek og opdateringer, så svagheder hurtigt bliver fundet og rettet.