Hola a todos, tengo una pregunta.
estoy realizando una auditoria con OWASP el cual me detecta como amenaza un ataque por inyección remota de comandos OS, dándome una URL como la siguiente en la petición GET

https://misitio.com/crear.php?id=167%27%3Bstart-sleep+-s+15&nombre=11

Entiendo que se está forzando al servidor a realizar un sleep de 15 segundos, pero el problema es que, si esto estuviera ocurriendo en realidad, la página tardaría en cargar esos 15 segundos, pero no es así, incluso si remplazo el 15 por 60 o 120 aun así carga de inmediato

Como información adicional, en informe del error en el apartado evidencia, no aparece nada.
¿Alguien sabe por qué ocurre esto?
¿Alguien tiene alguna idea?  será posible que sea una alerta en falso del OWASP?

Saludos estoy en Warzone, pero me atore en el reto hack web XSS.

Se que xss es un una forma de ataque a pagina vulnerables que consiste en inyectar código javascript en un formulario sin filtro, el cual deberá ejecutarlo. Pero el problema  es que le meto en todos los formularios el código, pero la página no me lo ejecuta.

La duda que tengo es si se puede inyectar código a partir de una imagen, solo hay que burlar los filtros.

Si me pudieran dar una pista para investigar les estaría muy agradecidos.