– atak informatyczny, będący stosunkowo nową techniką wykorzystywania błędów programistycznych w aplikacjach. Błędnie napisana aplikacja może być przy wykorzystaniu tej techniki usunięta przez system operacyjny z listy uruchomionych procesów (tzw. ) lub zmuszona do wykonania kodu dostarczonego przez napastnika.
Historia Pierwsze informacje na temat błędnego użycia funkcji wykorzystujących łańcuchy formatujące pojawiły się w wynikach analizy kodu źródłowego powłoki csh w 1990 r. przy wykorzystaniu techniki automatycznego testowania aplikacji (tzw. fuzzingu) na Uniwersytecie Wisconsin ([Miller, Fredriksen, So 1990]).
Przez wiele lat niewłaściwe wykorzystanie funkcji operujących na ciągach formatujących było uważane za błąd nie umożliwiający jednak przejęcie kontroli nad aplikacją. W 2000 roku Przemysław Frasunek i równolegle osoba o pseudonimie „tf8” przedstawili na liście dyskusyjnej Bugtraq po raz pierwszy exploity wykorzystujące błędy tego typu w szeroko stosowanym serwerze usługi FTPPierwszy exploit typu format string attack, wersja tf8Pierwszy exploit typu format string attack, wersja Przemysława Frasunka.