偵測

程式碼插入

critical Web App Scanning Plugin ID 98120

語系：

概要

程式碼插入

說明

現代 Web 應用程式將依賴數種不同的程式設計語言。

這些語言可以分成兩種類型。這些是用來形成動態頁面的用戶端語言 (例如在瀏覽器中執行的語言，例如 JavaScript) 和伺服器端語言 (由伺服器執行，例如 ASP、PHP、JSP 等等)。用戶端程式碼)，然後傳送至用戶端。

因為所有伺服器端程式碼都應該由伺服器執行，所以它應該只來自受信任的來源。

伺服器取得未受信任的程式碼 (即來自用戶端) 並執行該程式碼時，會發生程式碼插入。

網路攻擊者會濫用此弱點在伺服器上執行任意程式碼，進而導致整個伺服器遭到入侵。

掃描程式可插入特定的伺服器端程式碼，並在伺服器回應中包含已執行的程式碼輸出。這表示未進行適當的輸入清理。

解決方案

建議永遠不要將不受信任的輸入視為伺服器端程式碼。
若要驗證輸入，應用程式應確保提供的值僅包含執行相關動作所需的資料。
例如，如果需要使用者名稱，則不應接受任何非字母字元。

另請參閱

http://docs.python.org/py3k/library/functions.html#eval

http://perldoc.perl.org/functions/eval.html

http://php.net/manual/en/function.eval.php

http://www.aspdev.org/asp/asp-eval-execute/

Plugin 詳細資訊

嚴重性: Critical

ID: 98120

類型: remote

已發布: 2017/3/31

已更新: 2022/5/25

掃描範本: api, full, pci, scan

風險資訊

VPR

風險因素: High

分數: 8.4

CVSS v2

風險因素: Critical

基本分數: 10

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Critical

基本分數: 9.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS 評分資料來源: Tenable

參考資訊