CWE -CWE -796：仅对标记（4.10）过滤特殊元素

弱点ID：796

抽象：变体
结构：简单的

查看自定义信息：

描述

该产品从上游组件接收数据，但仅说明相对于标记的特殊元素（例如，在字符串的开始/结尾处；第二个参数”），从而在将其发送到将其发送给之前丢失了可能存在的特殊元素下游组件。

关系

该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof，parentof，ementof，并深入了解可能存在于较高和较低抽象水平的类似项目。此外，定义了诸如Peerof和Canalsobe之类的关系，以显示用户可能想要探索的类似弱点。

与观点“研究概念”相关（CWE-1000）

自然	类型	ID	姓名
Childof	基础 - 仍然主要独立于资源或技术的弱点，但有足够的细节来提供特定的检测和预防方法。基本水平的弱点通常用以下维度的2或3来描述问题：行为，财产，技术，语言和资源。	795	仅在指定位置过滤特殊元素

与“建筑概念”（CWE-1008）有关

自然	类型	ID	姓名
成员	类别 - 包含共享共同特征的其他条目的CWE条目。	1019	验证输入

介绍模式

引言的不同模式提供了有关如何以及何时引入这种弱点的信息。该阶段识别可能发生介绍的生命周期中的一个点，而音符提供了与给定阶段中引言有关的典型情况。

阶段	笔记
执行	实现：这种弱点是在实施建筑安全策略期间引起的。

常见后果

该表指定与弱点相关的不同个人后果。该范围确定了违反的应用程序安全区域，而影响描述了如果对手成功利用这一弱点，就会产生负面的技术影响。其可能性提供了有关预期相对于列表中其他后果的特定后果的可能性的信息。例如，可能会利用弱点来实现一定的影响，但很可能会利用它来实现不同的影响。

范围	影响	可能性
正直	技术影响：意外状态

示例的例子

示例1

以下代码采用不受信任的输入，并使用正则表达式来过滤一个位于输入字符串开头的“ ../”元素。然后，它将此结果附加到/home/user/directory，并尝试在最终结果路径中读取文件。

（不良代码）

示例语言：珀尔

我的$ username = getUntrustedInput（）;
$ username = 〜s/^\。\ \/////////
我的$ filename =“/home/home/user/”。$ username;
ReadAndSendFile（$ filename）;

由于正则表达式仅在字符串开头寻找“ ../”的实例，因此它仅删除第一个../“元素”。因此，输入值例如：

（攻击代码）

../../../../../etc/passwd

将有第一个“ ../”剥离，导致：

（结果）

../../../etc/passwd

然后将此值与/home/user/underory串联：

（结果）

/home/user/../../../etc/passwd

一旦操作系统解决了路径名中的../序列，这会导致/etc/passWD文件检索。这导致相对路径遍历（CWE-22）。

内容历史记录

普遍的弱点


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用共同弱点枚举（CWE）和本网站的相关参考使用条款。CWE由美国国土安全部（DHS）网络安全和基础设施安全局（CISA），由国土安全系统工程和开发研究所（HSSEDI）由manbetx客户端首页（MITER）。版权所有©2006–2023，Miter Comanbetx客户端首页rporation。CWE，CWSS，CWRAF和CWE徽标是Miter Corporation的商标。manbetx客户端首页