CWE - CWE - 82:中和不当脚本在IMG标记的属性在一个Web页面(4.12)

弱点ID: 82

抽象:变体
结构:简单的

视图定制的信息:

的用户感兴趣的更多的概念方面的一个弱点。例如:教育者,技术作家和项目/项目经理。用户关心的实际应用和细节的本质弱点以及如何预防它的发生。例子:工具开发人员、安全人员、pen-testers事件反应分析师。对于用户映射一个问题CWE / CAPEC id,即。,找到最合适的CWE为一个特定的问题(例如,CVE记录)。例如:工具开发人员、安全人员。用户希望看到所有可用的信息CWE / CAPEC条目。为用户谁想要定制显示细节。

描述

web应用程序不中和或错误中和脚本元素在IMG标记的属性,比如src属性。

扩展描述

攻击者可以将XSS攻击嵌入IMG属性的值(例如SRC)流,然后在受害者的浏览器中执行。注意,当页面加载到用户的浏览器,利用将自动执行。

的关系

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

相关的视图”研究概念”(cwe - 1000)

自然	类型	ID	的名字
ChildOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	83年	中和不当脚本在一个Web页面的属性

模式的介绍

不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。

阶段	请注意
实现

适用的平台

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

类:不是特定于语言的患病率(待定)

常见的后果

这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。

范围	影响	可能性
保密完整性可用性	技术的影响:阅读应用程序数据;执行未经授权的代码或命令

观察到的例子

参考	描述
cve - 2006 - 3211	XSS存储在留言板应用程序使用一个javascript: bbcode img标签URI。
cve - 2002 - 1649	javascript URI方案在IMG标记。
cve - 2002 - 1803	javascript URI方案在IMG标记。
cve - 2002 - 1804	javascript URI方案在IMG标记。
cve - 2002 - 1805	javascript URI方案在IMG标记。
cve - 2002 - 1806	javascript URI方案在IMG标记。
cve - 2002 - 1807	javascript URI方案在IMG标记。
cve - 2002 - 1808	javascript URI方案在IMG标记。

潜在的缓解措施

实施阶段:

策略:输出编码

使用和指定输出编码可以由下游组件读取输出。常见的编码包括iso - 8859 - 1、utf - 7, utf - 8。如果不指定一个编码,下游组件可能会选择不同的编码,通过假设一个默认的编码或使用自动推断哪些编码,这可能是错误的。编码不一致时,下游组件可能治疗一些特殊字符或字节序列,即使他们没有特别在原始的编码。攻击者就能够利用这种差异,开展注入攻击;他们甚至可以绕过保护机制,假设原编码也被下游组件。

输出编码不一致的问题经常出现在web页面。如果没有指定一个编码在一个HTTP头,web浏览器经常猜测哪些编码使用。这可以打开浏览器微妙的XSS攻击。

实施阶段:

策略:减少攻击表面

帮助减轻XSS攻击用户的会话cookie, HttpOnly设置会话cookie。在浏览器支持HttpOnly特性(比如最近版本的Internet Explorer和Firefox),这个属性可以防止用户的会话cookie访问恶意使用。com的客户端脚本。这不是一个完整的解决方案,因为HttpOnly不是所有浏览器都支持的。更重要的是,XMLHTTPRequest和其他强大的浏览器技术提供读访问HTTP头信息,包括set - cookie HttpOnly标志设置的标题。

有效性:深度防御

会员资格

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	990年	SFP二级集群:污染输入命令
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1409年	综合分类:注射

脆弱性映射笔记

用法:允许

(CWE ID可以用来映射到现实世界的漏洞)

原因:可接受的使用

理由是:

这个CWE条目是变体的抽象级别,这是一个首选的抽象级别映射到漏洞的根本原因。

评论:

仔细阅读这两个名称和描述,以确保此映射是一个适当的配合。不要试图“力”映射到底层基础/变体只是遵守这首选的抽象级别。

分类法映射

映射分类名称	节点ID	适合	映射节点名
千鸟			脚本在IMG标记
软件故障模式	SFP24		污染输入命令

内容的历史

提交
提交日期	提交者	组织
2006-07-19 (CWE草案3,2006-07-19)	千鸟
2006-07-19 (CWE草案3,2006-07-19)
修改
修改日期	修饰符	组织
2008-07-01	Eric Dalci	Cigital
2008-07-01	更新Time_of_Introduction
2008-09-08	CWE内容团队	主教法冠
2008-09-08	更新的关系,Taxonomy_Mappings
2008-10-14	CWE内容团队	主教法冠
2008-10-14	更新描述
2009-05-27	CWE内容团队	主教法冠
2009-05-27	更新描述、名称
2009-10-29	CWE内容团队	主教法冠
2009-10-29	更新的关系
2009-12-28	CWE内容团队	主教法冠
2009-12-28	更新Observed_Examples
2010-06-21	CWE内容团队	主教法冠
2010-06-21	更新描述,名称,Potential_Mitigations
2011-06-01	CWE内容团队	主教法冠
2011-06-01	更新Common_Consequences
2012-05-11	CWE内容团队	主教法冠
2012-05-11	更新的关系
2012-10-30	CWE内容团队	主教法冠
2012-10-30	更新Potential_Mitigations
2014-07-30	CWE内容团队	主教法冠
2014-07-30	更新的关系,Taxonomy_Mappings
2017-05-03	CWE内容团队	主教法冠
2017-05-03	更新Related_Attack_Patterns
2017-11-08	CWE内容团队	主教法冠
2017-11-08	更新Applicable_Platforms
2020-02-24	CWE内容团队	主教法冠
2020-02-24	更新的关系
2023-04-27	CWE内容团队	主教法冠
2023-04-27	更新的关系
2023-06-29	CWE内容团队	主教法冠
2023-06-29	更新Mapping_Notes
以前的条目名称
改变日期	以前的条目名称
2008-04-11	脚本在IMG标记

2009-05-27	未能清理脚本在IMG标记在一个Web页面的属性

2010-06-21	卫生处理不当的脚本在IMG标记在一个Web页面的属性

常见的弱点枚举

cwe - 82:中和不当脚本在IMG标记在一个Web页面的属性


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页

常见的弱点枚举

cwe - 82:中和不当脚本在IMG标记在一个Web页面的属性

编辑自定义过滤器