盲目式 NoSQL 插入 (差異分析)
high Web App Scanning Plugin ID 98119
語系：
概要
盲目式 NoSQL 插入 (差異分析)說明
未事先清理就在 NoSQL 呼叫中使用源自用戶端要求的值時，會發生 NoSQL 插入。這讓網路攻擊者可以執行任意 NoSQL 程式碼並竊取資料，或使用資料庫伺服器的其他功能來控制更多伺服器元件。
掃描程式發現受影響的頁面和參數容易遭受攻擊。偵測到此插入是因為掃描程式能夠插入特定的 NoSQL 查詢，如果有弱點，這會導致每個插入的回應皆不相同。這稱為盲目式 NoSQL 插入弱點。
解決方案
針對 NoSQL 插入攻擊，最有效的修復方法是確保 NoSQL API 呼叫不是透過包含未清理資料的字串串連建構。最好是使用現有的逸出程式庫執行清理。
另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 98119
類型: remote
系列: Injection
已發布: 2017/3/31
已更新: 2024/5/16
掃描範本: api, pci, scan
風險資訊
VPR
風險因素: Medium
分數: 6.2
CVSS v2
風險因素: High
基本分數: 9
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:P/A:P
CVSS 評分資料來源: Tenable
CVSS v3
風險因素: High
基本分數: 8.6
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVSS 評分資料來源: Tenable
參考資訊
CWE: 89
OWASP: 2010-A1, 2013-A1, 2017-A1, 2021-A3
WASC: SQL Injection
CAPEC: 108, 109, 110, 470, 66, 7
DISA STIG: APSC-DV-002540
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-SI-10
OWASP API: 2019-API8
OWASP ASVS: 4.0.2-5.3.4
PCI-DSS: 3.2-6.5.1