CWE观点:OWASP的弱点十大(2004)
 客观的观众的关系
下面的图显示了树状之间的关系在不同级别的抽象上存在的弱点。在最高的层次上,类别和支柱存在弱点。类别(不是技术上的缺点)是特殊CWE条目用于集团弱点,共享一个共同的特点。柱子是描述的弱点在最抽象的时尚。下面这些顶级条目的弱点是不同程度的抽象。类仍然非常抽象,通常独立于任何特定的语言或技术。基础水平的弱点是用来提供一个更具体的类型的弱点。变量是一个弱点,在很低的水平的细节,描述通常局限于一个特定的语言或技术。链是一系列的缺点,必须可以连续产生可利用的漏洞。而复合的缺点是一组必须同时在场,以产生一个可利用的漏洞。
显示详细信息:
711 -弱点OWASP十大(2004)
 类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A1 -用户输入- (722)
这一类的弱点有关A1 2004年OWASP十大类别。
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。Struts:重复验证形式- (102)
产品使用多个具有相同名称的验证形式,这可能导致Struts验证器验证一种程序员并不期望。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。Struts:不完整的validate()方法的定义- (103)
产品有一个验证器的形式,要么没有定义一个validate()方法,或定义一个validate()方法,但不叫super.validate ()。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。Struts:表单Bean不扩展验证类- (104)
如果一个表单bean不延长一个验证器的ActionForm子类框架,它可以使应用程序相关的弱点输入验证不足。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。Struts:不使用的插件框架- (106)
当应用程序不使用一个输入验证框架如Struts验证器,有一个更大的引入缺陷的风险相关的输入验证不足。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。Struts:验证器关闭- (109)
自动过滤通过一个Struts bean被关闭,禁用Struts的验证器和自定义验证逻辑。这让应用程序相关的弱点输入验证不足。
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缓冲区复制没有检查输入的大小(经典的缓冲区溢出)- (120)
产品输入缓冲区复制到输出缓冲区没有验证输入缓冲区的大小小于输出缓冲区的大小,导致缓冲区溢出。经典的缓冲区溢出无限的转移
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪的特殊元素的处理不当- (166)
产品从一个上游组件接收输入,但它不处理或不正确处理预期的特殊元素时失踪。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。额外的特殊元素的处理不当- (167)
产品从一个上游组件接收输入,但它不处理或不正确处理时提供额外的意想不到的特殊元素。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的行为秩序:早期验证- (179)
产品验证输入之前应用修改输入的保护机制,这可能允许攻击者绕过验证通过危险的输入,只有修改后出现。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不正确的行为顺序:规范化之前验证- (180)
产品验证输入之前规范化,防止产品检测数据规范化步骤后变得无效。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。之前错误的行为秩序:验证过滤器- (181)
之前的产品验证数据过滤,防止产品检测数据,过滤步骤后变得无效。Validate-before-cleanse
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。数据崩溃到不安全的价值- (182)
产品过滤数据的方式,它会减少或者“倒塌”到一个不安全的价值,违背了预期的安全属性。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。宽容的允许输入列表- (183)
产品实现了一个保护机制,它依赖于输入(或输入)的属性的列表,明确允许的政策,因为输入被认为是安全的,但是列表太宽容——也就是说,它允许一个输入是不安全的,导致合成的弱点。Allowlist /允许列表Safelist /安全列表“白名单”/白名单
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的输入验证- (20)
产品接收输入或数据,但它不验证或不正确验证输入所需的属性的过程安全、正确的数据。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。直接请求(“强迫浏览”)- (425)
web应用程序不充分执行适当的授权限制的url,脚本,或文件。强迫浏览
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部控制Assumed-Immutable Web参数- (472)
web应用程序不充分验证输入假定为不可变的,但实际上是外部控制,比如隐藏表单字段。Assumed-Immutable参数篡改
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。URL重定向不可信的网站(“开放重定向”)- (601)
一个web应用程序接受用户输入指定外部网站的链接,并使用该链接重定向。这简化了网络钓鱼攻击。开放的重定向跨站点重定向跨域重定向
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。客户端执行服务器端安全- (602)
产品由一个服务器,它依赖于客户端实现一个机制,旨在保护服务器。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和一个命令中使用的特殊元素(“命令注入”)- (77)
产品结构的全部或部分命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时可以修改预定的命令发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。中和不当输入在Web页面生成(“跨站点脚本编制”)- (79)
产品不中和或错误中和用户可控输入之前放在输出作为web页面使用的其他用户。XSSHTML注入CSS
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个SQL命令(SQL注入)- (89)
产品构造SQL命令的所有或部分使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改SQL命令发送到下游组件。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A2 -破碎的访问控制- (723)
这一类的弱点有关A2 2004年OWASP十大类别。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当限制限制目录的路径名(“路径遍历”)(22)
产品使用外部输入来构造一个路径名,目的是为了辨别一个文件或目录,坐落在父目录的限制,但是产品不正确路径名中的中和特殊元素可以导致路径名来解决限制目录以外的位置。目录遍历路径遍历
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的权限分配- (266)
产品错误地分配一个特权到一个特定的演员,为参与者创造一个意想不到的的控制范围。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。特权链接- (268)
两个截然不同的权限、角色、功能或权利可以组合的方式允许一个实体执行安全操作,不允许没有组合。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经证实的所有权- (283)
产品不正确验证关键资源是由适当的实体。
 支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。访问控制不当- (284)
产品不限制或错误地限制从未经授权的访问资源的演员。授权
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的授权- (285)
产品不执行或不正确执行授权检查当演员试图访问资源或执行一个动作。AuthZ
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用随机值不足- (330)
产品使用随机数或不足值的安全上下文依赖于不可预测的数字。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的解决路径等效(41)
该产品是容易通过路径等效文件系统内容披露。路径等效包括使用特殊字符的文件和目录的名称。相关操作的目的是生成多个名称相同的对象。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。直接请求(“强迫浏览”)- (425)
web应用程序不充分执行适当的授权限制的url,脚本,或文件。强迫浏览
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用Web浏览器缓存包含敏感信息- (525)
web应用程序不使用一个适当的缓存策略,指定每个网页的程度和相关表单字段应该被缓存。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的行为秩序:授权之前解析和规范化- (551)
如果web服务器不完全解析请求的url之前,检查授权,可以对攻击者绕过授权保护。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:使用身份扮演- (556)
配置一个ASP。网络应用与假扮凭证可以给应用程序运行不必要的特权。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。授权旁路通过用户控制的关键- (639)
系统的授权功能不防止一个用户获得另一个用户的数据或记录通过修改键值标识数据。不安全的直接对象引用/ IDOR破碎的对象级别授权/流星锤水平的授权
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的所有权转让- (708)
产品分配资源的所有者,但拥有者是为了控制范围之外的。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。外部控制文件名或路径- (73)
产品允许用户输入控制或影响路径或文件名中使用文件系统操作。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:弱EJB方法的访问权限(9)
如果访问权限分配给EJB方法升高,那么攻击者可以利用开发该产品的权限。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A3 -破碎的认证和会话管理- (724)
这一类的弱点有关A3在2004年OWASP十大类别。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用硬编码的密码- (259)
产品包含一个硬编码的密码,它使用的入站出站通信的身份验证或外部组件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的身份验证- (287)
当一个演员宣称已经给定的身份,产品不能证明或不够证明这种说法是正确的。认证AuthNAuthC
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当的证书链的信任- (296)
产品不遵守或者不正确,信任的证书链回受信任的根证书,导致错误的信任与证书相关联的任何资源。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当的验证证书过期- (298)
不验证证书过期或不正确的验证,所以信任可能会分配给证书由于年龄已经放弃了。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。认证绕过Assumed-Immutable数据- (302)
身份验证方案或实现使用关键数据元素被认为是不可变的,但是可以被攻击者控制或修改。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪的关键一步验证- (304)
产品实现身份验证技术,但它跳过步骤,削弱了技术。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当限制过度的身份验证- (307)
产品没有实现足够的措施来防止多个身份验证尝试失败在短时间内,使它更容易受到暴力攻击。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用基本身份验证密码系统- (309)
使用的密码系统,身份验证的主要方式可能会受到一些缺陷或不足,每减少机制的有效性。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。验证数据的真实性不足- (345)
产品不充分验证数据的来源或真实性,在某种程度上使它接受无效数据。
 组合——一个复合元素包含两个或两个以上不同的弱点,所有弱点必须出现在同一时间为了一个潜在的漏洞出现。删除任何缺点消除或大大降低了风险。一个弱点,X,可以“分解”组件弱点Y和z可以有弱点在哪些情况下可能不是必要的复合,但复合的性质变化时变成了弱点。会话固定- (384)
一个用户进行身份验证,或建立一个新的用户会话,无效任何现有的会话标识符给攻击者窃取身份验证会话的机会。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码要求- (521)
产品不需要用户应该有强壮的密码,这使得攻击者更容易妥协用户帐户。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。保护不足的凭证- (522)
产品传送或存储身份验证凭证,但它使用一个不安全的方法容易受到非法拦截和/或检索。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用Web浏览器缓存包含敏感信息- (525)
web应用程序不使用一个适当的缓存策略,指定每个网页的程度和相关表单字段应该被缓存。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。会话过期不足- (613)
根据WASC,“会话过期不足是当一个网站允许攻击者重用旧会话凭证或会话id进行授权。”
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经证实的密码更改- (620)
当设置一个新密码的用户,产品不需要知识的原始密码,或使用另一种形式的身份验证。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码恢复机制忘记密码- (640)
产品包含一个机制为用户恢复或更改密码不知道原始密码,但机制薄弱。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用硬编码的凭证- (798)
产品包含硬编码的凭证,如密码或密钥,这对自己的入站的身份验证,它使用出站通信外部组件,或内部数据的加密。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A4 -跨站点脚本(XSS)缺陷- (725)
这一类的弱点有关A4在2004年OWASP十大类别。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当的HTTP头中和脚本语法- (644)
产品不消除或中和web脚本语法错误在HTTP头可以使用web浏览器组件,可以处理原始标题,如Flash。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。中和不当输入在Web页面生成(“跨站点脚本编制”)- (79)
产品不中和或错误中和用户可控输入之前放在输出作为web页面使用的其他用户。XSSHTML注入CSS
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A5 -缓冲区溢出- (726)
这一类的弱点有关A5在2004年OWASP十大类别。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当的操作限制的范围内一个内存缓冲区- (119)
产品执行操作内存缓冲区,但它可以从磁盘读取或写入的内存位置之外的目标缓冲区的边界。缓冲区溢出缓冲区溢出内存安全
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缓冲区复制没有检查输入的大小(经典的缓冲区溢出)- (120)
产品输入缓冲区复制到输出缓冲区没有验证输入缓冲区的大小小于输出缓冲区的大小,导致缓冲区溢出。经典的缓冲区溢出无限的转移
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用外部控制的格式字符串- (134)
产品使用一个函数,它接受一个格式字符串作为参数,但格式字符串来自外部源。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A6 -注塑缺陷- (727)
这一类的弱点有关A6在2004年OWASP十大类别。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的输出中和日志- (117)
产品不消除或中和错误输出写入日志。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和下游组件使用的特殊元素的输出(注射)- (74)
产品结构的全部或部分命令,数据结构,或记录使用externally-influenced输入从一个上游组件,但是它不中和或错误中和特殊元素,可以修改它是如何解析或解释当它发送到下游组件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当中和一个命令中使用的特殊元素(“命令注入”)- (77)
产品结构的全部或部分命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时可以修改预定的命令发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个操作系统命令(OS命令注入)- (78)
产品结构的全部或部分操作系统命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改OS命令发送到下游组件。壳注射Shell元字符
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个SQL命令(SQL注入)- (89)
产品构造SQL命令的所有或部分使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改SQL命令发送到下游组件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。XML注入(又名XPath盲注)- (91)
产品不正确中和特殊元素中使用XML,允许攻击者修改语法,内容,或命令的XML处理结束之前系统。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当中和指令的动态评估代码(Eval注入)- (95)
产品从一个上游组件接收输入,但它不会消除或中和代码语法错误使用前输入在一个动态的评价(如打电话。“eval”)。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当控制包括/需要声明在PHP程序的文件名(PHP远程文件包含)- (98)
输入从一个PHP应用程序接收上游组件,但这并不限制或者错误地限制使用前的输入“需要”,“包括”或类似的功能。远程文件包含RFI本地文件包含
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A7 -错误处理不当- (728)
这一类的弱点有关A7在2004年OWASP十大类别。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。可观察到的差异- (203)
产品的不同行为或发送不同的反应在不同的情况下,可观测到一个未经授权的演员,暴露的安全相关的状态信息产品,如特定的操作是否成功与否。边信道攻击
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。代的包含敏感信息的错误消息- (209)
产品生成一个错误消息,包括环境的敏感信息,用户,或相关的数据。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。处理不当的语法无效的结构- (228)
产品不能处理或不正确地处理输入不是语法格式良好的相关规范。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不返回值- (252)
产品不会检查方法或函数返回值,可以防止检测意想不到的状态和条件。
类别——CWE条目包含一组其他条目,共享一个共同的特点。错误条件,返回值,状态代码- (389)
这一类包括弱点,如果一个函数不生成正确的返回/状态代码,或者应用程序不能处理所有可能的返回/状态代码,可以由一个函数。这种类型的问题通常是在条件中发现,很少遇到在产品的正常运行。据推测,最常见的条件是发现相关的bug和消除在开发和测试期间。在某些情况下,攻击者可以直接控制或影响环境引发罕见的条件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。没有行动检测错误条件- (390)
产品检测到一个特定的错误,但没有行动来处理错误。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经检查的错误条件- (391)
(计划在弃用。看到维修笔记和考虑cwe - 252, cwe - 248,或cwe - 1069。)忽略异常和其他错误条件可能允许攻击者产生异常行为引起注意。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。意想不到的状态代码或返回值- (394)
产品不正确检查当函数或操作函数返回一个值,是合法的,但不是所期望的产品。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不是不安全(不开放)- (636)
当产品遇到错误或失败条件,其设计需要回落到安全状态低于其他选项可用,如选择最弱加密算法或使用最宽容的访问控制限制。没有开放的
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:失踪的自定义错误页面(7)
一个web应用程序的默认错误页面不能显示产品的敏感信息。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP 2004年十大类别A8——不安全存储- (729)
这一类的弱点有关A8在2004年OWASP十大类别。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。编译器的代码清除缓冲区(14)
敏感的记忆清除根据源代码,但编译器优化离开内存没有不会再读,又名“死存储删除。”
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息在资源不被重用- (226)
产品发布资源如内存或文件,以便它可以重用,但它不清楚或“填零”中包含的信息资源在产品执行临界状态转换或使其他实体的资源可供重用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。弱密码编码- (261)
模糊的密码简单编码不保护密码。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。失踪的敏感数据的加密- (311)
产品不加密敏感或关键信息在存储或传输之前。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用硬编码的加密密钥- (321)
硬编码的加密密钥的使用显著增加加密的数据可以恢复的可能性。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。加密的强度不够- (326)
产品存储或传送敏感数据使用一个加密方案理论上是合理的,但并不足够强大保护所需的水平。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用损坏或危险的密码算法- (327)
产品使用损坏或危险的密码算法或协议。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用持久cookie包含敏感信息- (539)
web应用程序使用持久饼干,饼干包含敏感信息。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。敏感数据存储不当锁定内存- (591)
产品将敏感数据存储在内存中,没有锁,或被错误地锁,这可能会导致内存写入交换文件在磁盘上的虚拟内存管理器。这可以使数据更容易获得外部演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用GET请求方法的敏感的查询字符串- (598)
web应用程序使用HTTP GET方法来处理请求,并在查询字符串中包含敏感信息的请求。
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP十大2004类别A9 -拒绝服务- (730)
这一类的弱点有关A9 2004年OWASP十大类别。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当零终止- (170)
产品不终止或不正确地终止字符串或数组null字符或等价的终结者。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未捕获异常- (248)
从一个函数抛出异常,但这并不是她的老公知道。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。除以零- (369)
这个产品值除以零。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE坏实践:使用system . exit ()- (382)
J2EE应用程序使用system . exit(),它也关闭容器。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不受控制的资源消耗- (400)
产品不适当控制的分配和维护一个有限的资源,从而使一个演员来影响资源消耗的数量,最终导致可用资源的枯竭。资源枯竭
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。失踪之后释放内存有效寿命- (401)
产品没有足够的跟踪和释放分配的内存后,慢慢消耗剩余的内存。内存泄漏
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当关机或释放资源- (404)
产品不释放或错误发布资源前可以重用。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不对称的资源消耗(放大)- (405)
产品不适当控制敌人的情况下可以导致产品消耗或生产过度资源不需要敌人投资相当于工作或其他证明授权,即。对手的影响是“不对称”。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。足够的资源池- (410)
产品的资源池处理高峰需求不够大,攻击者可以阻止其他人访问资源利用(相对)大量的资源要求。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。无限制的外部访问的锁- (412)
产品正确检查锁的存在,但锁可以外部控制或影响演员以外的目的的控制范围。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。空指针废弃- (476)
应用程序时出现空指针废弃取消引用指针,它预计将是有效的,但是是空的,通常导致崩溃或退出。NPD零deref空指针
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不受控制的递归- (674)
产品不适当控制的递归,消耗过多的资源,如分配的内存或程序堆栈。堆栈疲惫
类别——CWE条目包含一组其他条目,共享一个共同的特点。OWASP 2004年十大类别A10——不安全的配置管理- (731)
这一类的弱点有关A10 2004年OWASP十大类别。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。代的包含敏感信息的错误消息- (209)
产品生成一个错误消息,包括环境的敏感信息,用户,或相关的数据。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息插入调试代码- (215)
产品将敏感信息插入调试代码,这可能会暴露这些信息如果调试代码没有在生产中禁用。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。存储文件的Web根目录下的敏感数据- (219)
产品存储敏感数据在web文档根与访问控制不足,这可能使其能够访问不可信。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不适当的证书验证- (295)
产品不验证,或不正确的验证,一个证书。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:数据传输没有加密(5)
通过网络发送的信息可以在移动过程中受损。攻击者可以读取或修改的内容如果数据发送明文或弱加密。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:明文密码配置文件- (555)
J2EE应用程序将明文密码存储在一个配置文件。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:会话id长度不足(6)
J2EE应用程序配置为使用一个会话ID长度不足。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:失踪的自定义错误页面(7)
一个web应用程序的默认错误页面不能显示产品的敏感信息。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:实体Bean声明遥远(8)
当应用程序暴露一个实体bean的远程接口,它还可能公开获取或设置bean的数据的方法。这些方法可以用于读取敏感信息,或改变数据的方式违反程序的预期,可能导致其他漏洞。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。J2EE错误配置:弱EJB方法的访问权限(9)
如果访问权限分配给EJB方法升高,那么攻击者可以利用开发该产品的权限。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不完整的清理- (459)
产品不正确的“清理”,删除临时或支持资源后使用。清理不足
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。积极的调试代码- (489)
产品部署与调试代码仍然启用或未经授权的演员活跃,可以创造出意想不到的入口点或暴露敏感信息。剩下的调试代码
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:创建调试二进制(11)
系统调试消息帮助攻击者了解和计划攻击的一种形式。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:失踪的自定义错误页面(12)
ASP。net应用程序必须启用自定义错误页面为了防止攻击者从矿业信息框架内置的反应。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:密码配置文件(13)
将明文密码存储在一个配置文件允许任何人谁可以读取文件访问密码保护资源使他们一个简单的攻击者的目标。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。net错误配置:使用模拟- (520)
允许一个。net应用程序运行在可能升级级别的访问底层操作和文件系统可能是危险的和导致各种形式的攻击。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:不使用输入验证框架- (554)
ASP。网络应用程序不使用一个输入验证框架。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。ASP。网络错误配置:使用身份扮演- (556)
配置一个ASP。网络应用与假扮凭证可以给应用程序运行不必要的特权。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。明文存储在一个环境变量的敏感信息- (526)
产品使用环境变量来存储加密敏感信息。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。版本控制存储库的未经授权的控制范围- (527)
产品商店CVS, git或其他存储库目录中,归档,或其他资源存储、传输,或者访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。接触的核心转储文件,未经授权的控制范围- (528)
产品目录中生成一个核心转储文件,归档,或其他资源存储、转移,或者访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。的访问控制列表文件未经授权的控制范围- (529)
产品存储访问控制列表文件的目录或其他容器访问演员之外的控制范围。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。暴露的备份文件,未经授权的控制范围- (530)
备份文件存储在一个目录或档案是由访问未经授权的演员。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。在测试代码包含敏感信息- (531)
可以测试应用程序可以构成各种各样的安全风险。因为开发人员或管理员很少考虑到有人除了自己会知道这些应用程序的存在,他们通常包含敏感信息或功能。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。敏感信息插入日志文件- (532)
信息写入日志文件可以是一个敏感的天性,给攻击者或有价值的指导用户暴露敏感信息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。包含敏感信息的源代码- (540)
源代码在web服务器或存储库通常包含敏感信息,通常不应该访问的用户。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。在一个包含文件包含敏感信息- (541)
如果一个源访问包含文件,该文件可以包含用户名和密码,以及对应用程序和系统有关的敏感信息。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。暴露的信息通过目录清单- (548)
不当公开目录清单,产生潜在的攻击者的敏感信息。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。文件或目录访问外部各方- (552)
产品使文件或目录访问未经授权的演员,虽然他们不应该。
笔记引用查看指标内容的历史
更多的信息是可用的,请选择一个不同的过滤器。
|
||||||||||||||||||||||||||||||||||||||
