CWE观点:架构概念
 客观的观众的关系
下面的图显示了树状之间的关系在不同级别的抽象上存在的弱点。在最高的层次上,类别和支柱存在弱点。类别(不是技术上的缺点)是特殊CWE条目用于集团弱点,共享一个共同的特点。柱子是描述的弱点在最抽象的时尚。下面这些顶级条目的弱点是不同程度的抽象。类仍然非常抽象,通常独立于任何特定的语言或技术。基础水平的弱点是用来提供一个更具体的类型的弱点。变量是一个弱点,在很低的水平的细节,描述通常局限于一个特定的语言或技术。链是一系列的缺点,必须可以连续产生可利用的漏洞。而复合的缺点是一组必须同时在场,以产生一个可利用的漏洞。
显示详细信息:
1008 -架构概念
 类别——CWE条目包含一组其他条目,共享一个共同的特点。审计- (1009)
这一类的弱点audit-based组件的设计和架构相关的系统。经常这些处理日志记录用户活动为了确定攻击者和修改系统。这个类别中的弱点可能导致退化的质量审计功能时,如果不考虑设计或实现一个安全的体系结构。
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的输出中和日志- (117)
产品不消除或中和错误输出写入日志。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。安全相关信息的遗漏- (223)
产品没有记录或显示信息是重要的识别攻击的源或性质,或确定一个行动是安全的。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。模糊的安全相关的信息替代名称- (224)
产品记录的安全相关的信息根据受影响的另一个名称的实体,而不是规范的名称。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息插入日志文件- (532)
信息写入日志文件可以是一个敏感的天性,给攻击者或有价值的指导用户暴露敏感信息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。足够的日志- (778)
强调安全事件发生时,产品没有记录的事件或省略了重要细节事件日志的时候。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。过多的数据的日志- (779)
产品日志太多信息,使日志文件很难过程并可能阻碍后恢复工作或法医分析攻击。
类别——CWE条目包含一组其他条目,共享一个共同的特点。验证的演员- (1010)
这一类的弱点有关认证组件的设计和架构的系统。经常这些处理验证实体的确是那自称是谁。这个类别中的弱点可能导致退化的质量认证时,如果不考虑设计或实现一个安全的体系结构。
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。空密码配置文件- (258)
使用一个空字符串作为密码是不安全的。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用硬编码的密码- (259)
产品包含一个硬编码的密码,它使用的入站出站通信的身份验证或外部组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不使用密码老化- (262)
产品没有一个机制来管理密码老化。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。与长过期密码老化- (263)
产品支持密码老化,但保质期太长了。
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的身份验证- (287)
当一个演员宣称已经给定的身份,产品不能证明或不够证明这种说法是正确的。认证AuthNAuthC
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过使用另一种路径或通道- (288)
一个产品需要认证,但产品备用路径或通道,不需要身份验证。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过通过替代名称- (289)
产品执行身份验证基于被访问资源的名称,或执行访问的演员的名字,但这并不正确检查所有可能的资源名称或演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过被欺骗- (290)
这attack-focused的缺点是由于错误地实现身份验证方案,受到欺骗攻击。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。依赖IP地址进行身份验证- (291)
产品使用IP地址进行身份验证。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用引用页字段进行身份验证- (293)
推荐人字段在HTTP请求中可以很容易地修改,因此,消息完整性检查的不是一个有效的手段。介绍人
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过被捕获——重放- (294)
捕获——重放缺陷存在时,产品的设计使恶意用户嗅探网络流量,绕过身份验证通过重放服务器的问题同样的效果与原始消息(或微小的改动)。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。反射攻击在身份验证协议- (301)
简单身份验证协议受到反射攻击如果恶意用户可以使用目标机器来模仿一个可信用户。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过Assumed-Immutable数据- (302)
身份验证方案或实现使用关键数据元素被认为是不可变的,但是可以被攻击者控制或修改。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的身份验证算法的实现- (303)
产品规定的要求使用一个确定身份验证算法,但算法的实现是不正确的。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪的关键一步验证- (304)
产品实现身份验证技术,但它跳过步骤,削弱了技术。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过的主要弱点- (305)
身份验证算法是合理的,但实现的机制可以作为一个单独的结果绕过弱点主要的验证错误。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪的身份验证的重要功能- (306)
产品不执行任何身份验证功能,需要一个可证明的用户标识或消耗了大量的资源。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当限制过度的身份验证- (307)
产品没有实现足够的措施来防止多个身份验证尝试失败在短时间内,使它更容易受到暴力攻击。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用单因素身份验证- (308)
使用单因素身份验证可以导致不必要的妥协的风险相比,一个指定的身份验证方案的好处。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。没有实体认证密钥交换- (322)
产品执行密钥交换有一个演员没有验证,演员的身份。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码要求- (521)
产品不需要用户应该有强壮的密码,这使得攻击者更容易妥协用户帐户。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。认证绕过:OpenSSL CTX对象修改后SSL创建对象- (593)
产品修改SSL上下文创建连接后已经开始。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用客户端身份验证- (603)
客户机/服务器产品在客户端代码执行身份验证,而不是在服务器代码,允许服务器端身份验证通过修改客户端,省略了绕过身份验证检查。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经证实的密码更改- (620)
当设置一个新密码的用户,产品不需要知识的原始密码,或使用另一种形式的身份验证。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码恢复机制忘记密码- (640)
产品包含一个机制为用户恢复或更改密码不知道原始密码,但机制薄弱。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用硬编码的凭证- (798)
产品包含硬编码的凭证,如密码或密钥,这对自己的入站的身份验证,它使用出站通信外部组件,或内部数据的加密。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用密码散列,而不是密码进行身份验证- (836)
产品记录密码散列在一个数据存储,从客户端接收的散列密码,并比较所提供的哈希散列得到的数据存储。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用的密码哈希计算努力不足- (916)
产品生成哈希密码,但它使用一个计划没有提供足够水平的计算工作量,使密码破解攻击不可行或昂贵。
类别——CWE条目包含一组其他条目,共享一个共同的特点。授权的演员- (1011)
弱点这类系统的设计和架构相关的授权组件。经常这些处理代理的执行所需的权限之前执行某些操作,如修改数据。这个类别中的弱点可能导致退化的质量授权功能时,如果不考虑设计或实现一个安全的体系结构。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。过程控制- (114)
执行命令或加载库从一个不受信任的源或在一个不可信的环境中可能导致应用程序执行恶意命令(和有效载荷)代表一个攻击者。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部控制系统或配置设置(15)
一个或多个系统设置或外部配置元素可以由用户控制。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。存储文件的Web根目录下的敏感数据- (219)
产品存储敏感数据在web文档根与访问控制不足,这可能使其能够访问不可信。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。存储的文件和敏感数据在FTP根- (220)
FTP服务器根目录下的产品存储敏感数据的访问控制不足,这可能使其能够访问不可信。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的权限分配- (266)
产品错误地分配一个特权到一个特定的演员,为参与者创造一个意想不到的的控制范围。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。特权定义了不安全的行为- (267)
特定的权限、角色、功能或对可用于执行安全操作,没有目的,即使它被分配给正确的实体。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。特权链接- (268)
两个截然不同的权限、角色、功能或权利可以组合的方式允许一个实体执行安全操作,不允许没有组合。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。权限管理不当- (269)
产品的不合理分配、修改、跟踪,或检查权限的一个演员,创建一个意想不到的控制范围,演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。特权上下文切换错误- (270)
产品不正确管理权限时切换不同的上下文中有不同的特权或领域的控制。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。特权/降低错误- (271)
产品不放弃特权之前通过控制资源的一个演员,没有这些特权。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。最小特权违反- (272)
执行操作所需的高特权级别如chroot()执行手术后应立即下降。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。检查了不当的特权- (273)
产品试图放弃特权但不检查或不正确检查下成功了。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的处理权限不足- (274)
产品不能处理或不正确处理足够的权限来执行一个操作,导致合成的弱点。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的默认权限- (276)
在安装过程中,安装文件权限设置为允许任何人修改这些文件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不安全的继承权限- (277)
产品定义了一组安全权限继承的对象创建的项目。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不正确的Execution-Assigned权限- (279)
虽然执行,产品集的权限对象的目的在某种程度上违反了权限已经由用户指定。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。处理不当的权限或权限不足- (280)
产品不能处理或错误处理当它有足够的权限来访问资源或功能作为其权限规定。这可能导致意想不到的代码路径,可能导致产品在一个无效的状态。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。保存不当的权限- (281)
产品不保存权限或不正确保存权限复制时,恢复,或共享对象,这可能会导致他们有严格的权限比预期少。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。所有权管理不当- (282)
产品分配错误的所有权,所有权或不适当的验证,一个对象或资源。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经证实的所有权- (283)
产品不正确验证关键资源是由适当的实体。
 支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。访问控制不当- (284)
产品不限制或错误地限制从未经授权的访问资源的演员。授权
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的授权- (285)
产品不执行或不正确执行授权检查当演员试图访问资源或执行一个动作。AuthZ
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的用户管理- (286)
产品不正确管理用户在其环境。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。通道由Non-Endpoint访问- (300)
产品不充分验证的身份演员通信通道的两端,或不充分保证通道的完整性,在某种程度上允许访问通道或受到演员不是一个端点。Adversary-in-the-Middle / AITM中间人/ MITMPerson-in-the-Middle / PITMMonkey-in-the-MiddleMonster-in-the-Middle路径有关攻击拦截攻击
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。预测从可观察到的状态- (341)
基于观测数目或对象是可预测的,攻击者可以对系统或网络的状态,如时间、进程ID等等。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。暴露私人个人信息未经授权的演员- (359)
产品不正确阻止一个人的私人的,个人信息被访问的演员要么(1)没有明确授权访问信息或(2)没有隐式的同意的人谁收集的信息。隐私的侵犯隐私泄漏隐私泄漏
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。意想不到的控制范围的曝光的文件描述符(文件描述符泄漏)- (403)
过程不敏感的文件描述符调用子进程之前,允许孩子使用这些描述符执行未经授权的I / O操作。文件描述符泄漏
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不受保护的主要通道- (419)
产品使用的主要渠道管理或限制功能,但它不妥善保护通道。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不受保护的备用通道- (420)
产品保护的主要渠道,但它不使用相同级别的保护另一个频道。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。直接请求(“强迫浏览”)- (425)
web应用程序不充分执行适当的授权限制的url,脚本,或文件。强迫浏览
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不可信的搜索路径- (426)
产品搜索关键资源使用外来的搜索路径,可以指向资源不受产品的直接控制。不可信的路径
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。无限制上传文件与危险的类型- (434)
产品允许攻击者上传或危险的传输文件类型,可以自动处理产品的内环境。不受限制的文件上传
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。版本控制存储库的未经授权的控制范围- (527)
产品商店CVS, git或其他存储库目录中,归档,或其他资源存储、传输,或者访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。接触的核心转储文件,未经授权的控制范围- (528)
产品目录中生成一个核心转储文件,归档,或其他资源存储、转移,或者访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。的访问控制列表文件未经授权的控制范围- (529)
产品存储访问控制列表文件的目录或其他容器访问演员之外的控制范围。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。暴露的备份文件,未经授权的控制范围- (530)
备份文件存储在一个目录或档案是由访问未经授权的演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息插入可外部访问文件或目录- (538)
产品地方敏感信息到文件或目录的演员被允许访问的文件,但不敏感信息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的行为秩序:授权之前解析和规范化- (551)
如果web服务器不完全解析请求的url之前,检查授权,可以对攻击者绕过授权保护。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。文件或目录访问外部各方- (552)
产品使文件或目录访问未经授权的演员,虽然他们不应该。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。授权旁路通过用户控制SQL主键- (566)
产品使用一个数据库表,包括记录不应该访问的一个演员,但它执行一个SQL语句的主键可以控制的演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。授权旁路通过用户控制的关键- (639)
系统的授权功能不防止一个用户获得另一个用户的数据或记录通过修改键值标识数据。不安全的直接对象引用/ IDOR破碎的对象级别授权/流星锤水平的授权
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。外部控制临界状态的数据- (642)
重要产品商店安全状态信息对其用户,或产品本身的位置可以访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用非规范的URL路径进行授权决策- (647)
产品名称空间定义政策,使基于假设一个URL授权决策规范化。这可以让一个非规范URL绕过授权。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。隔离不当或划分- (653)
产品不正确划分或隔离功能,流程,需要不同的特权级别或资源,权利,或权限。分离的特权
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。通过模糊的安全的依赖- (656)
产品使用一个实力在很大程度上依赖于其默默无闻的保护机制,这样知识的算法或关键数据足以击败机制。不要假设你的秘密是安全的
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。曝光资源错误的球体- (668)
产品暴露错误的控制范围的资源,提供意想不到的演员与不恰当的访问资源。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的资源领域之间的转移- (669)
产品不正确将资源/行为转移到另一个领域,从另一个领域或进口资源/不当行为,意想不到的方式提供对资源的控制。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。缺乏安全管理员控制- (671)
产品使用安全功能,防止产品的管理员裁剪安全设置,以反映环境中所使用的产品。介绍了合成的弱点或阻止它操作的安全级别,需要由管理员。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。范围定义的外部影响- (673)
产品的定义并不能阻止从外部演员控制领域。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的所有权转让- (708)
产品分配资源的所有者,但拥有者是为了控制范围之外的。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的权限分配的关键资源- (732)
重要的产品指定权限安全资源的方式允许读取或修改资源意想不到的演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。资源配置没有限制或节流- (770)
产品分配一个可重用的资源或一组资源代表一个演员不强加任何限制的大小或数量的可分配的资源,违反安全策略的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。暴露IOCTL访问控制不足- (782)
产品实现的IOCTL功能应该被限制,但这并不正确执行IOCTL的访问控制。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。文档类型定义的控制不当- (827)
产品不限制一个参考文档类型定义(DTD)的控制范围。这可能允许攻击者参考任意dtd,可能导致产品公开文件,消耗过多的系统资源,或者执行任意http请求代表攻击者。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。失踪的授权- (862)
产品不执行授权检查当演员试图访问资源或执行一个动作。AuthZ
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。错误的授权- (863)
产品执行授权检查当演员试图访问资源或执行一个动作,但它不正确执行检查。这允许攻击者绕过访问限制。AuthZ
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。存储的敏感数据没有访问控制机制- (921)
产品将敏感信息存储在一个文件系统或设备,没有内置的访问控制。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当限制目的端点的通信通道- (923)
产品建立一个通信信道(或)端点特权或受保护的操作,但它不正确沟通确保使用正确的端点。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不适当的授权方案在处理程序定义URL- (939)
产品使用处理程序为一个自定义的URL方案,但它不适当限制演员可以调用处理程序的使用方案。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。宽容与不可信域跨域策略- (942)
产品使用跨域策略文件,包括不应该被信任域。
类别——CWE条目包含一组其他条目,共享一个共同的特点。交叉剪接- (1012)
这一类的弱点与多种安全策略的设计和体系结构以及它们是如何影响一个系统。例如,暴露会影响限制访问和限制的信息暴露安全策略。这个类别中的弱点可能导致退化的质量很多功能时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。可观测的时间差异- (208)
两个独立操作一个产品需要不同的大量的时间来完成,在某种程度上可以观察到的一个演员,揭示了安全相关产品的状态信息,例如特定的操作是否成功与否。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪的报告错误条件- (392)
产品遇到错误但不提供一个状态码或返回值,表明发生了一个错误。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。清理不当抛出异常- (460)
产品不清理它的状态或不正确清理其状态时将抛出一个异常,导致意想不到的状态或控制流。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缺少标准化的错误处理机制- (544)
产品不使用一个标准化的方法处理错误的代码,这可能介绍不一致的错误处理和合成的弱点。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。客户端执行服务器端安全- (602)
产品由一个服务器,它依赖于客户端实现一个机制,旨在保护服务器。
支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。检查或不当处理异常情况- (703)
产品不正确地预见和处理异常情况很少发生在产品的正常运行。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的检查异常或异常情况- (754)
产品不检查或不正确检查异常或异常情况不会经常发生在日常操作的产品。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。依赖饼干没有验证和完整性检查在一个安全的决定- (784)
产品使用一个保护机制,依赖于存在或cookie的值,但它不正确确保相关用户的cookie是有效的。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。依赖不可信的输入在一个安全的决定- (807)
产品使用一个保护机制,依赖于存在或输入的值,但一个不可信的输入可以修改演员的方式绕过了保护机制。
类别——CWE条目包含一组其他条目,共享一个共同的特点。加密数据- (1013)
这一类的弱点有关设计和架构数据机密性的一个系统。经常这些处理加密库的使用。这个类别中的弱点可能导致质量的退化数据加密时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。明文存储密码- (256)
在明文存储密码可能导致系统妥协。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。可恢复的格式存储的密码- (257)
存储密码的可恢复的格式让他们受到恶意用户密码重用攻击。事实上,应该注意的是,可恢复加密密码提供无显著好处在明文密码,因为他们不仅受到重用通过恶意攻击者还恶意的内部人员。如果一个系统管理员可以直接恢复密码,或者使用蛮力搜索可用的信息,管理员可以使用其他账户的密码。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。密码配置文件- (260)
产品密码存储在一个配置文件可能访问的演员不知道密码。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码编码- (261)
模糊的密码简单编码不保护密码。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。失踪的敏感数据的加密- (311)
产品不加密敏感或关键信息在存储或传输之前。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。明文存储的敏感信息- (312)
内的产品在明文存储敏感信息资源可能会访问另一个控制范围。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储在文件或磁盘- (313)
产品在明文存储敏感信息的文件,或在磁盘上。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储在注册表中- (314)
产品敏感信息在明文存储在注册中心。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储敏感信息的Cookie- (315)
产品将敏感信息在明文存储在一个cookie。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储敏感信息在内存中- (316)
产品将敏感信息在明文存储在内存中。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储敏感信息的GUI- (317)
该产品将敏感信息存储在GUI中明文。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储敏感信息的可执行文件- (318)
产品存储敏感信息在一个可执行的明文。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。明文传输的敏感信息- (319)
明文的产品传递重要敏感或安全数据通信通道,可以嗅未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用硬编码的加密密钥- (321)
硬编码的加密密钥的使用显著增加加密的数据可以恢复的可能性。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。重用现时标志,在加密密钥对- (323)
目前应该用于目前的机会只有一次。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用一个关键过去的保质期- (324)
产品使用一个密钥或密码过去的保质期,显著减少其安全通过增加关键的时间窗口破解攻击。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。丢失的密码步骤- (325)
产品没有实现密码算法所需的步骤,导致弱加密算法比广告。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。加密的强度不够- (326)
产品存储或传送敏感数据使用一个加密方案理论上是合理的,但并不足够强大保护所需的水平。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用损坏或危险的密码算法- (327)
产品使用损坏或危险的密码算法或协议。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用弱散列- (328)
产品使用一个算法产生一个消化(产值),不符合安全预期一个哈希函数,允许敌人合理确定原始输入(原象攻击),找到另一个输入,可以产生相同的散列(2前象攻击),或发现多个输入值相同的散列(生日攻击)。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用随机值不足- (330)
产品使用随机数或不足值的安全上下文依赖于不可预测的数字。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。熵不足- (331)
产品使用一个算法或方案产生不足的熵,离开模式或集群的价值观比其他人更有可能发生。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。熵在PRNG不足- (332)
缺乏可用的熵,或使用的伪随机数发生器(PRNG)可以是一个稳定和安全的威胁。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。处理不当的熵在TRNG不足- (333)
真正的随机数生成器(TRNG)通常有一个有限的熵和因此可能会失败或块。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。小空间的随机值- (334)
可能的随机值的数量小于所需的产品,使它更容易受到暴力攻击。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的使用伪随机数生成器的种子(PRNG)- (335)
产品使用伪随机数发生器(PRNG)但不正确管理种子。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。相同的伪随机数生成器的种子(PRNG)- (336)
一个伪随机数发生器(PRNG)每次使用相同的种子产品初始化。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。可预测的伪随机数生成器的种子(PRNG)- (337)
初始化一个伪随机数发生器(PRNG)在一个可预见的种子,如进程ID或系统时间。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用密码地弱伪随机数生成器(PRNG)- (338)
产品使用伪随机数生成器(PRNG)在一个安全上下文,但是PRNG的算法不是密码地强。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。小种子在PRNG空间- (339)
伪随机数生成器(PRNG)使用一个相对较小的种子空间,这使得它更容易受到暴力攻击。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当验证加密的签名- (347)
产品不验证,或不正确的验证,数据加密签名。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。保护不足的凭证- (522)
产品传送或存储身份验证凭证,但它使用一个不安全的方法容易受到非法拦截和/或检索。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不受保护的运输凭证- (523)
登录页面不使用足够的措施,保护用户名和密码,而他们是在运输过程中从客户端到服务器。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。谈判期间选择低收入低保险算法(算法降级)- (757)
协议或其实现支持多个参与者之间的交互,并允许那些演员协商算法应该作为一种保护机制,如加密或认证,但它不选择最强的算法,可用于双方。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用单向散列没有盐- (759)
产品采用单向加密散列在一个输入,不应是可逆的,如一个密码,但是产品还没有使用盐,作为输入的一部分。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用单向散列和一个可预测的盐- (760)
产品采用单向加密散列在一个输入,不应是可逆的,如一个密码,但产品使用一个可预测的盐,作为输入的一部分。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。没有OAEP使用RSA算法- (780)
产品使用RSA算法,但不纳入最优非对称加密填充(OAEP),这可能会削弱加密。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不安全的存储敏感信息- (922)
产品存储敏感信息的不适当限制读写访问未经授权的演员。
类别——CWE条目包含一组其他条目,共享一个共同的特点。确定的演员- (1014)
弱点这类系统的设计和架构相关的识别管理组件。经常这些处理验证外部代理提供输入到系统中。这个类别中的弱点可能导致退化的质量鉴定管理时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不适当的证书验证- (295)
产品不验证,或不正确的验证,一个证书。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的证书链的信任- (296)
产品不遵守或者不正确,信任的证书链回受信任的根证书,导致错误的信任与证书相关联的任何资源。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。与主机不匹配不当的验证证书- (297)
产品与主机通信,它提供了一个证书,但是产品不正确确保证书实际上是相关的主机。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当的验证证书过期- (298)
不验证证书过期或不正确的验证,所以信任可能会分配给证书由于年龄已经放弃了。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。检查证书撤销不当- (299)
产品不检查或不正确检查证书的撤销状态,这可能会导致使用证书身份被识破了。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。验证数据的真实性不足- (345)
产品不充分验证数据的来源或真实性,在某种程度上使它接受无效数据。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。起源验证错误- (346)
产品不正确验证数据的来源或沟通是有效的。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。缺少检查证书撤销后最初的检查- (370)
产品不检查证书撤销状态的首次撤销后检查,甚至可以导致产品执行特权操作证书被吊销后在稍后的时间。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。意想不到的代理或中介(困惑副)- (441)
产品接收请求、消息或指令从上游组件,但是产品不充分保留原始请求的请求转发给外部演员之前产品的控制范围之外。这将导致出现产品请求的来源,主要充当代理或其他上游组件和外部演员之间的媒介。困惑的副
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。失踪的OpenSSL的验证证书- (599)
产品使用OpenSSL和信托或使用证书不使用证书SSL_get_verify_result()函数,以确保满足所有必要的安全要求。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的验证源通信通道- (940)
产品建立一个通信通道来处理传入请求,由一个演员,但它不正确验证请求来自预期的起源。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。在通信信道错误指定目的地- (941)
产品创建一个通信通道启动一个外向请求一个演员,但这并不正确地指定目的地,演员。
类别——CWE条目包含一组其他条目,共享一个共同的特点。限制访问- (1015)
弱点这类相关的设计和架构的系统资源。经常这些处理限制数量的资源访问的演员,比如内存、网络连接、CPU或接入点。这个类别中的弱点可能导致退化的质量认证时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息插入发送数据- (201)
代码数据传送到另一个演员,但是部分数据包括敏感信息,不应该访问的演员。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。代的包含敏感信息的错误消息- (209)
产品生成一个错误消息,包括环境的敏感信息,用户,或相关的数据。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当删除敏感信息在存储或传输- (212)
产品存储、传输或共享一个资源包含敏感信息,但它并不正确删除信息在产品使资源可用于未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。创建chroot监狱不改变工作目录- (243)
产品使用chroot()系统调用创建一个监狱,但不改变工作目录之后。这并不阻止访问文件之外的监狱。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。执行与不必要的特权- (250)
产品执行一个操作在一个特权级别高于所需的最低水平,这创造了新的弱点或者其他弱点放大的后果。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。在另一个球体外部控制的参考资源- (610)
产品使用外部控制的名称或引用解析为一个资源预定的控制范围之外。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。XML外部实体引用的不当限制- (611)
产品流程一个XML文档,XML可以包含实体的uri解析文档之外的目的范围控制,导致产品不正确的文档嵌入到它的输出。XXE
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部控制文件名或路径- (73)
产品允许用户输入控制或影响路径或文件名中使用文件系统操作。
类别——CWE条目包含一组其他条目,共享一个共同的特点。限制接触- (1016)
弱点这类相关的设计和架构系统的入口点。经常这些处理最小化攻击表面通过设计系统所需的最少数量的入口点。这个类别中的弱点可能导致退化系统的防御时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。自我包含敏感信息的错误消息- (210)
产品标识一个错误条件并创建自己的诊断或包含敏感信息的错误消息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部生成包含敏感信息的错误消息- (211)
产品执行一个操作,触发外部诊断或错误消息不能直接生成或控制的产品,比如一个错误产生的一个软件应用程序使用的编程语言解释器。错误可以包含敏感的系统信息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用可见敏感信息的调用过程- (214)
命令行参数调用一个过程与敏感,环境变量,或者其他元素可以被其他进程在操作系统。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。注册服务器生成的错误消息包含敏感信息- (550)
某些条件下,如网络故障,将导致显示服务器错误消息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。包含的功能不受信任的控制范围- (829)
产品进口,需要,或包含可执行功能(如图书馆)从源目的控制范围之外的。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。从一个不可信的源包含Web功能- (830)
产品包括网络功能(如web部件)从另一个域,导致其经营领域内的产品,可能给予总访问和控制产品的不可信来源。
类别——CWE条目包含一组其他条目,共享一个共同的特点。锁定计算机- (1017)
弱点这类系统的设计和架构相关的锁定机制。经常这些处理场景,在多次失败的情况下生效一个给定的资源的访问。这个类别中的弱点可能导致退化的访问系统资产如果不解决在设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。过分严格的帐户锁定机制- (645)
产品包含一个帐户锁定保护机制,但这种机制过于严格,可以很容易触发,它允许攻击者拒绝服务合法用户,导致他们的账户被锁定了。
类别——CWE条目包含一组其他条目,共享一个共同的特点。管理用户会话- (1018)
这一类的弱点有关会话管理的设计和架构。经常这些处理信息或状态对每个用户及其访问权限为多个请求的持续时间。这个类别中的弱点可能导致会话管理的质量退化时,如果不考虑设计或实现一个安全的体系结构。
 组合——一个复合元素包含两个或两个以上不同的弱点,所有弱点必须出现在同一时间为了一个潜在的漏洞出现。删除任何缺点消除或大大降低了风险。一个弱点,X,可以“分解”组件弱点Y和z可以有弱点在哪些情况下可能不是必要的复合,但复合的性质变化时变成了弱点。会话固定- (384)
一个用户进行身份验证,或建立一个新的用户会话,无效任何现有的会话标识符给攻击者窃取身份验证会话的机会。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。暴露错误的会话的数据元素- (488)
产品之间没有充分执行边界各州不同的会话,导致数据提供,或使用错误的会话。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE坏实践:Non-serializable对象存储在会话中- (579)
产品存储一个HttpSession non-serializable对象属性,从而损害可靠性。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:会话id长度不足(6)
J2EE应用程序配置为使用一个会话ID长度不足。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。会话过期不足- (613)
根据WASC,“会话过期不足是当一个网站允许攻击者重用旧会话凭证或会话id进行授权。”
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当行为的执行工作流- (841)
不止一个的产品支持会话行为必须由一个演员表演,但这并不正确确保演员执行所需的行为序列。
类别——CWE条目包含一组其他条目,共享一个共同的特点。验证输入- (1019)
弱点这类系统的设计和架构相关的输入验证组件。经常这些处理消毒,中和和验证任何外部提供输入减少畸形数据进入系统,防止代码注入的输入数据。这个类别中的弱点可能导致退化的质量系统中的数据流时,如果不考虑设计或实现一个安全的体系结构。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和特殊元素- (138)
产品从一个上游组件接收输入,但它不中和或错误中和特殊元素,可以被解释为控制元素或句法标记,当他们被发送到一个下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。中和不当逃脱、元或控制序列- (150)
产品从一个上游组件接收输入,但它不中和或错误中和特殊元素,可以被解释为逃避,元,或控制字符序列当他们被发送到一个下游组件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的输入验证- (20)
产品接收输入或数据,但它不验证或不正确验证输入所需的属性的过程安全、正确的数据。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。接受外来的不可信的数据和可信的数据- (349)
产品,当处理可信的数据,接受任何不可信的数据与可信的数据,还包括治疗不可信的数据,就好像它是可信的。
组合——一个复合元素包含两个或两个以上不同的弱点,所有弱点必须出现在同一时间为了一个潜在的漏洞出现。删除任何缺点消除或大大降低了风险。一个弱点,X,可以“分解”组件弱点Y和z可以有弱点在哪些情况下可能不是必要的复合,但复合的性质变化时变成了弱点。跨站请求伪造(CSRF)- (352)
web应用程序不会或不能充分验证是否格式良好的,有效的,一致的请求是故意提供的用户提交请求。会话控制跨站参考伪造XSRF
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部控制Assumed-Immutable Web参数- (472)
web应用程序不充分验证输入假定为不可变的,但实际上是外部控制,比如隐藏表单字段。Assumed-Immutable参数篡改
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。PHP外部变量修改- (473)
PHP应用程序不正确防止变量的修改从外部来源,如查询参数或饼干。这可以使应用程序很多原本不存在的弱点。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。反序列化的数据不可信- (502)
产品反序列化不可信数据不充分验证结果数据将是有效的。打包,包酸洗,unpicklePHP对象注入
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当链接之前决议文件访问(“链接后”)(59)
产品基于文件名试图访问一个文件,但它不适当阻止,文件名标识一个链接或快捷方式,解决了一个意想不到的资源。不安全的临时文件拉链滑
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。URL重定向不可信的网站(“开放重定向”)- (601)
一个web应用程序接受用户输入指定外部网站的链接,并使用该链接重定向。这简化了网络钓鱼攻击。开放的重定向跨站点重定向跨域重定向
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当限制文件和其他资源的名称- (641)
产品结构使用输入文件的名称或其他资源的上游组件,但这并不限制或者错误地限制产生的名字。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和数据在XPath表达式(XPath注入)- (643)
产品使用外部输入动态地构建一个XPath表达式用于检索数据从XML数据库,但它不中和或输入错误中和。这允许攻击者控制的结构查询。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和在XQuery表达式的数据(“XQuery注入”)- (652)
产品使用外部输入动态地构建一个XQuery表达式用于检索数据从XML数据库,但它不中和或输入错误中和。这允许攻击者控制的结构查询。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和下游组件使用的特殊元素的输出(注射)- (74)
产品结构的全部或部分命令,数据结构,或记录使用externally-influenced输入从一个上游组件,但是它不中和或错误中和特殊元素,可以修改它是如何解析或解释当它发送到下游组件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。未能清洁特殊元素转换为不同的平面(特殊元素注入)- (75)
产品不充分过滤用户输入特殊元素控制的影响。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和等效特殊元素- (76)
产品正确中和某些特殊元素,但它不当中和当量特殊元素。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和一个命令中使用的特殊元素(“命令注入”)- (77)
产品结构的全部或部分命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时可以修改预定的命令发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个操作系统命令(OS命令注入)- (78)
产品结构的全部或部分操作系统命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改OS命令发送到下游组件。壳注射Shell元字符
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。中和不当输入在Web页面生成(“跨站点脚本编制”)- (79)
产品不中和或错误中和用户可控输入之前放在输出作为web页面使用的其他用户。XSSHTML注入CSS
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。过滤不当的特殊元素- (790)
产品从一个上游组件接收数据,但不过滤或不正确的过滤器特殊元素之前发送给下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不完全过滤的特殊元素- (791)
产品从一个上游组件接收数据,但不完全过滤特殊元素之前发送给下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不完整的过滤特殊元素的一个或多个实例- (792)
产品从一个上游组件接收数据,但不完全过滤特殊元素的一个或多个实例之前发送给下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。只有过滤特殊元素的一个实例- (793)
产品从一个上游组件接收数据,但只有过滤器单个实例的一个特殊的元素之前发送给下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不完整的过滤特殊元素的多个实例- (794)
产品从一个上游组件接收数据,但不过滤特殊元素的所有实例之前发送给下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。只有过滤特殊元素在指定的位置- (795)
产品从一个上游组件接收数据,但只占特殊元素在指定的位置,从而错过剩下的特殊元素可能存在的,然后再把它传递给下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。只有过滤特殊元素相对于一个标记- (796)
产品从一个上游组件接收数据,但只占定位相对于一个标记(如特殊元素。“在一个字符串的开始/结束;第二个参数”),从而错过剩下的特殊元素可能存在的,然后再把它传递给下游组件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。只有过滤特殊元素在一个绝对位置- (797)
产品从一个上游组件接收数据,但只占在一个绝对位置(如特殊元素。“字节10号”),从而错过剩下的特殊元素可能存在的,然后再把它传递给下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和一个命令的参数分隔符(“参数注入”)- (88)
产品构造一个字符串的命令来执行一个单独的组件在另一个控制范围,但这并不正确划定目标参数,选项,或者开关命令字符串中。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个SQL命令(SQL注入)- (89)
产品构造SQL命令的所有或部分使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改SQL命令发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在LDAP查询(LDAP注入)- (90)
LDAP查询的产品结构全部或部分使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改预定的LDAP查询发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。XML注入(又名XPath盲注)- (91)
产品不正确中和特殊元素中使用XML,允许攻击者修改语法,内容,或命令的XML处理结束之前系统。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。中和不当CRLF序列(CRLF注入)- (93)
产品采用CRLF(回车换行)作为一种特殊的元素,例如单独的行或记录,但它不中和或错误中和CRLF从输入序列。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当控制生成的代码(代码注入)- (94)
产品结构全部或部分的代码段使用externally-influenced输入从一个上游组件,但是它不中和或中和特殊的元素,可以修改错误的语法或行为的代码段。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和特殊元素的数据查询逻辑- (943)
产品生成查询计划访问或操作数据存储中的数据,如数据库,但它不中和或错误地中和特殊元素,可以修改查询的目标逻辑。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当中和指令的动态评估代码(Eval注入)- (95)
产品从一个上游组件接收输入,但它不会消除或中和代码语法错误使用前输入在一个动态的评价(如打电话。“eval”)。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和静态保存指令的代码(静态代码注入)- (96)
产品从一个上游组件接收输入,但它不会消除或中和代码语法错误之前输入插入一个可执行的资源,如图书馆,配置文件,或者模板。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当中和服务器端包含(SSI)在一个Web页面- (97)
产品生成一个web页面,但不消除或中和用户可控的输入错误,可以解释为一个服务器端包含(SSI)指令。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当控制包括/需要声明在PHP程序的文件名(PHP远程文件包含)- (98)
输入从一个PHP应用程序接收上游组件,但这并不限制或者错误地限制使用前的输入“需要”,“包括”或类似的功能。远程文件包含RFI本地文件包含
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不恰当的控制资源标识符(“资源注入”)- (99)
产品从一个上游组件接收输入,但这并不限制或者错误地限制输入前用作标识符以外的资源可能有意的控制范围。不安全的直接对象引用
类别——CWE条目包含一组其他条目,共享一个共同的特点。验证消息的完整性- (1020)
弱点这类系统的设计和架构相关组件的数据完整性。经常这些处理确保数据的完整性,如信息,资源文件,部署文件和配置文件。这个类别中的弱点可能导致数据完整性质量退化时,如果不考虑设计或实现一个安全的体系结构。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缺少支持完整性检查- (353)
产品使用一个传输协议,它不包括一个机制来验证在传输过程中数据的完整性,如校验和。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的验证完整性检查的价值- (354)
产品不验证或验证错误消息的完整性检查值或“校验和”。这可能防止检测如果传输的数据被修改或损坏。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。没有行动检测错误条件- (390)
产品检测到一个特定的错误,但没有行动来处理错误。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经检查的错误条件- (391)
(计划在弃用。看到维修笔记和考虑cwe - 252, cwe - 248,或cwe - 1069。)忽略异常和其他错误条件可能允许攻击者产生异常行为引起注意。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。下载的代码没有完整性检查- (494)
产品下载源代码或从远程位置和执行一个可执行的代码没有充分验证代码的来源和完整性。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。依赖饼干没有验证和完整性检查- (565)
产品依赖于存在或cookie的值在执行强调安全的操作,但它不正确的设置是有效的确保相关用户。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。依赖混淆或加密的安全相关的输入没有完整性检查- (649)
产品使用混淆或加密的输入,不应由外部演员可变,但产品不使用完整性检查发现如果这些输入已经修改。
支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。不适当的中和- (707)
产品不保证或确保结构化信息或数据错误是格式良好的,满足特定的安全属性之前读取一个上游组件或发送到下游组件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。异常情况的处理不当- (755)
产品不能处理或不正确处理异常情况。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的执行消息完整性在通信信道中传输- (924)
产品与端点建立通信通道和接收一条消息的端点,但这并不足够确保消息不会在传输过程中被修改。
笔记引用查看指标内容的历史
更多的信息是可用的,请选择一个不同的过滤器。
|
||||||||||||||||||||||||||||
