La SQL injection memorizzata è un tipo di SQL injection in cui l'input controllato dall'attaccante viene prima scritto in un database o in un altro archivio persistente, per poi essere letto successivamente e utilizzato in una query o in un flusso amministrativo. Il payload può sembrare innocuo nel momento in cui viene salvato, ma diventa pericoloso quando un'altra parte dell'applicazione si fida di quei dati memorizzati e costruisce SQL con essi.
Questo è importante perché l'attivazione può avvenire molto tempo dopo il caricamento iniziale o l'invio di un modulo, rendendo la falla più difficile da individuare e bloccare. Negli attacchi reali, il valore malevolo può essere inserito tramite commenti, campi del profilo, file di importazione, dati di backup o funzionalità di sincronizzazione, e poi attivato durante operazioni di ricerca, ripristino, esportazione o reportistica. I difensori riducono il rischio usando query parametrizzate, convalidando e codificando i dati sia in scrittura sia in lettura, e trattando come non affidabili i contenuti ripristinati o importati. La SQL injection memorizzata può portare a furto di dati, manomissione o, nei casi più gravi, a un compromesso più ampio del sistema.