Wstrzykiwanie kodu (ang. code injection) to luka w zabezpieczeniach, przez którą atakujący wprowadza do aplikacji złośliwy kod. System wykonuje wtedy nieautoryzowane polecenia lub skrypty. Zwykle dzieje się tak, gdy dane wpisywane przez użytkowników nie są dostatecznie sprawdzane lub są źle obsługiwane. Wstrzyknięty kod zakłóca normalne działanie i pozwala atakującym zdobyć nieuprawniony dostęp, zmienić poufne dane, a nawet przejąć cały system.
Ta luka często występuje w aplikacjach internetowych, na przykład jako SQL injection, gdy atakujący wykorzystuje pola formularza, by wstrzyknąć szkodliwe polecenia SQL. Złośliwy użytkownik może wpisać określone polecenia w formularzu logowania i nakłonić bazę danych do ujawnienia danych użytkowników albo dostępu administratora. Aby skutecznie zapobiegać wstrzykiwaniu kodu, programiści muszą dokładnie sprawdzać i oczyszczać wszystkie dane od użytkowników, stosować bezpieczne techniki programowania, takie jak zapytania parametryzowane, oraz regularnie przeprowadzać audyty bezpieczeństwa i aktualizacje, aby szybko wykrywać i usuwać słabe punkty.