CWE

普遍的弱点

A Community-Developed List of Software & Hardware Weakness Types

2021 CWE最重要的硬件弱点
CWE前25个最危险的弱点
>CWE列表>CWE- Individual Dictionary Definition (4.10)
ID

CWE-315: Cleartext Storage of Sensitive Information in a Cookie

弱点ID:315
抽象:变体
结构:简单的
查看自定义信息:
+Description
The product stores sensitive information in cleartext in a cookie.
+扩展描述
攻击者可以使用广泛可用的工具来查看cookie并阅读敏感信息。即使信息是以不可行的方式编码的,某些技术也可以确定正在使用哪种编码,然后解码信息。
+关系
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+与观点“研究概念”相关(CWE-1000)
自然 Type ID 姓名
Childof 根据根据- a weakness that is still mostly independent of a resource or technology, but with sufficient details to provide specific methods for detection and prevention. Base level weaknesses typically describe issues in terms of 2 or 3 of the following dimensions: behavior, property, technology, language, and resource. 312 敏感信息的清晰文本存储
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+Relevant to the view "Architectural Concepts" (CWE-1008)
自然 Type ID 姓名
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 1013 加密数据
+介绍模式
部分帮助引言的不同模式提供了有关如何以及何时引入这种弱点的信息。该阶段识别可能发生介绍的生命周期中的一个点,而音符提供了与给定阶段中引言有关的典型情况。
Phase 笔记
建筑和设计 遗漏:这种弱点是由于在架构和设计阶段缺少安全策略而引起的。
+适用的平台
部分帮助该清单显示了可能出现的弱点的可能区域。这些可能适用于特定的命名语言,操作系统,体系结构,范式,技术或一类此类平台。该平台与给定弱点出现在该实例的频率一起列出。

语言

班级:不是特定语言的(不确定的患病率)

+常见后果
部分帮助该表指定与弱点相关的不同个人后果。该范围确定了违反的应用程序安全区域,而影响描述了如果对手成功利用这一弱点,就会产生负面的技术影响。其可能性提供了有关预期相对于列表中其他后果的特定后果的可能性的信息。例如,可能会利用弱点来实现一定的影响,但很可能会利用它来实现不同的影响。
范围 Impact 可能性
Confidentiality

技术影响:读取应用程序数据

+Demonstrative Examples

Example 1

The following code excerpt stores a plaintext user account ID in a browser cookie.

(不良代码)
示例语言:爪哇
response.addCookie( new Cookie("userAccountID", acctID);

由于帐户ID是按照授权的,因此如果攻击者妥协了用户的帐户信息,则将公开其帐户信息。

+Observed Examples
Reference Description
Admin password in cleartext in a cookie.
默认配置在cookie中具有ClearText用户名/密码。
cookie中的clearText中的用户名/密码。
身份验证信息存储在cookie中的clearText中。
+Memberships
部分帮助此成员关系表显示了其他CWE类别和视图,将此弱点称为成员。该信息通常可用于理解弱点适合外部信息源的何处。
自然 Type ID 姓名
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 963 SFP辅助群集:暴露数据
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 1349 OWASP前十2021年A05:2021-安全性错误
+笔记

Terminology

Different people use "cleartext" and "plaintext" to mean the same thing: the lack of encryption. However, within cryptography, these have more precise meanings. Plaintext is the information just before it is fed into a cryptographic algorithm, including already-encrypted text. Cleartext is any information that is unencrypted, although it might be in an encoded form that is not easily human-readable (such as base64 encoding).
+Taxonomy Mappings
映射的分类名称 节点ID Fit 映射的节点名称
plover Cookie中的明文存储
软件故障模式 SFP23 Exposed Data
+内容历史记录
+Submissions
Submission Date 提交者 Organization
2006-07-19 plover
+修改
修改日期 Modifier Organization
2008-07-01 Sean Eidemiller Cigital
添加/更新的示例
2008-07-01 埃里克·达奇(Eric Dalci) Cigital
更新的time_of_introduction
2008-09-08 CWE内容团队 MITER
updated Relationships, Taxonomy_Mappings
2011-06-01 CWE内容团队 MITER
updated Common_Consequences
2012-05-11 CWE内容团队 MITER
更新的示范_examples,关系
2013-07-17 CWE内容团队 MITER
更新已更新的适用_platforms,explyative_examples,描述,名称,obsoved_examples,势_METIGITATIONS,terminology_notes
2014-07-30 CWE内容团队 MITER
更新的示范_examples,关系,分类_mappings
2017-11-08 CWE内容团队 MITER
updated Modes_of_Introduction, Relationships
2020-02-24 CWE内容团队 MITER
updated Relationships
2021-10-28 CWE内容团队 MITER
updated Relationships
2023-01-31 CWE内容团队 MITER
更新的描述
+先前的输入名称s
改变日期 先前的输入名称
2008-04-11 Cookie中的明文存储
2013-07-17 饼干中的明文存储
More information is available — Please select a different filter.
页面最后更新:2023年1月31日