CWE-96 è una classe di debolezza per la neutralizzazione impropria di direttive in codice archiviato staticamente. In pratica, significa che un'applicazione memorizza dati che in seguito vengono trattati come istruzioni, query, template o comandi senza sufficiente sanitizzazione o escaping. Ciò può consentire a input controllati dall'attaccante di modificare il comportamento del programma.
Questo è importante perché spesso diventa un percorso di injection lato server, dove un singolo difetto può colpire molti utenti o sistemi connessi. Negli attacchi reali, i bug di tipo CWE-96 possono portare all'esecuzione di codice, a modifiche non autorizzate della configurazione o alla generazione di script malevoli. I difensori cercano concatenazioni non sicure di input in contesti simili al codice, applicano una codifica rigorosa dell'output e preferiscono API parametriche o strutturate. Code review, fuzzing e convalida dell'input aiutano a individuare queste debolezze prima che raggiungano la produzione.