تخطٍّ إلى المحتوى
Fendixالتوثيقالتوثيق

.fendix.yaml · SEC-001 · SARIF

الإصدار الحالي v3.7.0
تصفّح التوثيق

.fendix.yaml · SEC-001 · SARIF

فهرسمستقرv3.7.0

مكتبة الفحوصات

ابحث في فهرس الفحوصات التنفيذية حسب المعرّف والمحلل والفئة والخطورة وCWE ونمط التنفيذ.

في هذه الصفحة

يُنشأ هذا الفهرس من سجل DAST التنفيذي وقواعد الأسرار وtextscan الأصلية وحزم Semgrep المضمّنة في v3.7.0. تأتي حقائق القواعد من المحرك، بينما تُراجع الشروح بصورة مستقلة.

تُعرض أسماء قواعد secrets وtextscan وsemgrep كما يسجلها المحرك لتبقى مطابقة للتقارير، وتحيط بها تسميات وشروح عربية مراجعة.

الخطورة الافتراضية للفحص مدخل أصيل، ولا تحدد وحدها BLOCK أو WARN أو قرار الإصدار. تبقى الأدلة والثقة والسياسة والتغطية حقائق مستقلة.

فهرس الفحوصات التنفيذية

ابحث بمعرّف الفحص أو معرّف CWE بدقة، أو رشّح بالحقول المسجلة في العقد الحالي.

85 من 85 فحصًا
الفحصالمحللالفئةالخطورةCWEالتنفيذ
فرض المصادقةauthdastتجاوز المصادقة——باستخدام المصادقة
ملفات التهيئة المكشوفةconfigleakdastكشف البيانات——سلبي
سمات أمان ملفات الارتباطcookie-flagsdastملفات الارتباط——سلبي
مشاركة الموارد عبر الأصول CORScorsdastCORS——سلبي
استعلام SQL خام في Django بوسيط غير ثابتdjango-orm-raw-sqlsemgrepالحقنHIGHCWE-89سلبي
عرض Django دون LoginRequiredMixindjango-view-missing-login-requiredsemgrepالمصادقةMEDIUMCWE-306سلبي
كشف البيانات الحساسةexposuredastكشف البيانات——سلبي
مسار FastAPI دون اعتمادية للمصادقةfastapi-route-missing-auth-dependencysemgrepالمصادقةMEDIUMCWE-306سلبي
مسار Flask يفتقد @login_requiredflask-missing-login-requiredsemgrepالمصادقةHIGHCWE-306سلبي
حقن القوالب من جهة الخادم عبر render_template_string()flask-render-template-string-injectionsemgrepالحقنHIGHCWE-94سلبي
مسار Flask دون مُزخرِف للمصادقةflask-route-no-auth-decoratorsemgrepالمصادقةMEDIUMCWE-306سلبي
Command injection: exec.Command with shell wrapper or concatenated argvGO_EXEC_COMMAND_INJECTIONtextscanالحقنHIGHCWE-78سلبي
AWS access-key ID literal embedded in sourceGO_HARDCODED_AWS_KEYtextscanالأسرارCRITICALCWE-798سلبي
SQL injection: query built via string formattingGO_SQL_INJECTIONtextscanالحقنHIGHCWE-89سلبي
Weak hash used for password storageGO_WEAK_HASH_PASSWORDtextscanالأسرارHIGHCWE-327سلبي
كشف GraphQLgraphqldastGraphQL——نشط
ترويسات الأمانheadersdastالترويسات——سلبي
حقن ترويسة Hosthost-headerdastترويسة Host——نشط
Dockerfile uses ADD when COPY would sufficeIAC_DOCKER_ADD_INSTEAD_OF_COPYtextscanالبنية التحتية ككودLOWCWE-829سلبي
Dockerfile base image is not pinned to a digestIAC_DOCKER_FLOATING_TAGtextscanالبنية التحتية ككودINFOCWE-829سلبي
Dockerfile pins to :latest (or no tag at all)IAC_DOCKER_LATEST_TAGtextscanالبنية التحتية ككودMEDIUMCWE-829سلبي
Dockerfile doesn't drop privileges (no USER directive in file)IAC_DOCKER_RUNS_AS_ROOTtextscanالبنية التحتية ككودMEDIUMCWE-250سلبي
Kubernetes container allowPrivilegeEscalation: trueIAC_K8S_ALLOW_PRIVILEGE_ESCALATIONtextscanالبنية التحتية ككودMEDIUMCWE-250سلبي
Kubernetes pod uses hostNetwork: trueIAC_K8S_HOST_NETWORKtextscanالبنية التحتية ككودHIGHCWE-250سلبي
Kubernetes pod runs with privileged: trueIAC_K8S_PRIVILEGED_CONTAINERtextscanالبنية التحتية ككودHIGHCWE-250سلبي
Kubernetes container runAsUser: 0 (root)IAC_K8S_RUNS_AS_ROOTtextscanالبنية التحتية ككودHIGHCWE-250سلبي
الوصول إلى كائنات مستخدم آخرidordastتخويل الكائنات——مستخدمان
اختبارات الحقنinjectiondastالحقن——نشط
Command injection: Runtime.exec / ProcessBuilder with a concatenated argumentJAVA_EXEC_COMMAND_INJECTIONtextscanالحقنHIGHCWE-78سلبي
Insecure cookie: Secure/HttpOnly explicitly disabledJAVA_INSECURE_COOKIEtextscanالمصادقةMEDIUMCWE-614سلبي
Insecure deserialization: Java ObjectInputStreamJAVA_INSECURE_DESERIALIZATIONtextscanالحقنHIGHCWE-502سلبي
LDAP injection: search filter built by string concatenationJAVA_LDAP_INJECTIONtextscanالحقنHIGHCWE-90سلبي
Path traversal: filesystem path built from a request parameterJAVA_PATH_TRAVERSALtextscanالحقنHIGHCWE-22سلبي
SQL injection: query built by string concatenationJAVA_SQL_INJECTIONtextscanالحقنHIGHCWE-89سلبي
SSRF: outbound request built directly from a request parameterJAVA_SSRFtextscanالحقنHIGHCWE-918سلبي
Weak cryptography: MD5/SHA-1 digest or DES/ECB/RC4 cipherJAVA_WEAK_CRYPTOtextscanالتشفيرMEDIUMCWE-327سلبي
Insecure randomness: java.util.Random / Math.random in a security contextJAVA_WEAK_RANDOMtextscanالتشفيرMEDIUMCWE-330سلبي
Reflected XSS: request value written straight to the servlet responseJAVA_XSS_REFLECTEDtextscanXSSHIGHCWE-79سلبي
XML external entity (XXE): XML parser factory created without hardeningJAVA_XXEtextscanالحقنHIGHCWE-611سلبي
child_process.exec with shell semanticsJS_CHILD_PROCESS_SHELLtextscanالحقنHIGHCWE-78سلبي
document.write — DOM-based XSS surfaceJS_DOCUMENT_WRITEtextscanXSSMEDIUMCWE-79سلبي
eval() with non-literal argumentJS_EVAL_LITERALtextscanالحقنHIGHCWE-95سلبي
AWS access-key ID literal embedded in JavaScript sourceJS_HARDCODED_AWS_KEYtextscanالأسرارCRITICALCWE-798سلبي
innerHTML assigned from a non-literal expressionJS_INNER_HTML_USER_INPUTtextscanXSSHIGHCWE-79سلبي
require() called with a non-literal pathJS_REQUIRE_INTERPOLATIONtextscanالحقنHIGHCWE-95سلبي
التلاعب بطريقة HTTPmethod-tamperdastالتلاعب بالطريقة——نشط
إعادة التوجيه المفتوحةopen-redirectdastإعادة التوجيه——نشط
معرّف مفتاح وصول AWS مضمّن في شيفرة Pythonpython-aws-access-key-id-literalsemgrepالأسرارCRITICALCWE-798سلبي
تنفيذ أوامر بمدخلات يتحكم فيها المستخدمpython-command-injection-shell-truesemgrepالحقنCRITICALCWE-78سلبي
eval()‎ أو exec()‎ بوسيط ديناميكيpython-eval-injectionsemgrepالحقنCRITICALCWE-95سلبي
JSON لحساب خدمة GCP مضمّن في شيفرة Pythonpython-gcp-service-account-inlinesemgrepالأسرارCRITICALCWE-798سلبي
عنوان URL لقاعدة بيانات مضمّن في الشيفرة ويتضمن بيانات اعتمادpython-hardcoded-db-urlsemgrepالأسرارHIGHCWE-214سلبي
سرّ مضمّن في إسناد داخل شيفرة Pythonpython-hardcoded-secret-assignmentsemgrepالأسرارCRITICALCWE-798سلبي
فك ترميز JWT دون التحقق من التوقيعpython-jwt-decode-no-verificationsemgrepالمصادقةCRITICALCWE-347سلبي
استيراد تشفير متماثل قديم (DES أو 3DES أو RC4 أو ARC2 أو Blowfish)python-legacy-cipher-importsemgrepالأسرارHIGHCWE-327سلبي
hashlib.md5()‎ على متغير كلمة مرورpython-md5-used-for-passwordsemgrepالأسرارHIGHCWE-327سلبي
مفتاح خاص بصيغة PEM مضمّن في شيفرة Pythonpython-pem-private-key-literalsemgrepالأسرارCRITICALCWE-798سلبي
pickle.loads()‎ على سلسلة بايتات غير ثابتةpython-pickle-loads-untrustedsemgrepالحقنHIGHCWE-502سلبي
استخدام وحدة random لقيمة حساسة أمنيًاpython-random-for-token-generationsemgrepالأسرارHIGHCWE-338سلبي
hashlib.sha1()‎ على متغير كلمة مرورpython-sha1-used-for-passwordsemgrepالأسرارHIGHCWE-327سلبي
عنوان Slack incoming webhook مضمّن في الشيفرةpython-slack-webhook-url-literalsemgrepالأسرارHIGHCWE-798سلبي
استعلام SQL مبني بتنسيق النصوصpython-sql-injection-string-formatsemgrepالحقنCRITICALCWE-89سلبي
subprocess مع shell=True وأمر غير ثابتpython-subprocess-shell-true-with-variablesemgrepالحقنCRITICALCWE-78سلبي
yaml.load()‎ دون SafeLoaderpython-yaml-load-unsafesemgrepالحقنHIGHCWE-502سلبي
تحديد معدل الطلباتratelimitdastتحديد معدل الطلبات——سلبي
Anthropic API key hardcodedsecrets/ANTHROPIC_API_KEYsecretsالأسرارCRITICALCWE-798سلبي
AWS Access Key ID hardcodedsecrets/AWS_ACCESS_KEYsecretsالأسرارCRITICALCWE-798سلبي
AWS Secret Access Key hardcodedsecrets/AWS_SECRET_KEYsecretsالأسرارCRITICALCWE-798سلبي
Database connection string with credentialssecrets/DB_CONNECTION_STRINGsecretsالأسرارHIGHCWE-214سلبي
Hardcoded credential in .env filesecrets/ENV_SECRETsecretsالأسرارHIGHCWE-798سلبي
GCP service-account JSON key hardcodedsecrets/GCP_SERVICE_ACCOUNTsecretsالأسرارCRITICALCWE-798سلبي
Hardcoded API key or tokensecrets/GENERIC_API_KEYsecretsالأسرارHIGHCWE-798سلبي
GitHub token hardcodedsecrets/GITHUB_TOKENsecretsالأسرارCRITICALCWE-798سلبي
Google API key hardcodedsecrets/GOOGLE_API_KEYsecretsالأسرارHIGHCWE-798سلبي
Hardcoded password in source codesecrets/HARDCODED_PASSWORDsecretsالأسرارHIGHCWE-259سلبي
Hardcoded secret value in config-style assignmentsecrets/HARDCODED_SECRET_CONFIGsecretsالأسرارHIGHCWE-798سلبي
Hardcoded JWT tokensecrets/JWT_TOKENsecretsالأسرارHIGHCWE-798سلبي
Hardcoded JWT tokensecrets/JWT_TOKEN_HEADERsecretsالأسرارHIGHCWE-798سلبي
npm registry token hardcodedsecrets/NPM_TOKENsecretsالأسرارHIGHCWE-798سلبي
OpenAI API key hardcodedsecrets/OPENAI_API_KEYsecretsالأسرارCRITICALCWE-798سلبي
Private key material hardcodedsecrets/PRIVATE_KEYsecretsالأسرارCRITICALCWE-321سلبي
Slack token hardcodedsecrets/SLACK_TOKENsecretsالأسرارHIGHCWE-798سلبي
Stripe live secret key hardcodedsecrets/STRIPE_LIVE_KEYsecretsالأسرارCRITICALCWE-798سلبي
تزوير الطلبات من جهة الخادم SSRFssrfdastSSRF——نشط
البرمجة النصية المنعكسة عبر المواقع XSSxssdastالحقن——نشط
فرض المصادقةauth
المحلل
dast
الفئة
تجاوز المصادقة
الخطورة
—
CWE
—
التنفيذ
باستخدام المصادقة
المصادقة
بيانات اعتماد واحدة
عرض Django دون LoginRequiredMixindjango-view-missing-login-required
المحلل
semgrep
الفئة
المصادقة
الخطورة
MEDIUM
CWE
CWE-306
التنفيذ
سلبي
المصادقة
غير مطلوبة
Weak hash used for password storageGO_WEAK_HASH_PASSWORD
المحلل
textscan
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-327
التنفيذ
سلبي
المصادقة
غير مطلوبة
كشف GraphQLgraphql
المحلل
dast
الفئة
GraphQL
الخطورة
—
CWE
—
التنفيذ
نشط
المصادقة
غير مطلوبة
ترويسات الأمانheaders
المحلل
dast
الفئة
الترويسات
الخطورة
—
CWE
—
التنفيذ
سلبي
المصادقة
غير مطلوبة
حقن ترويسة Hosthost-header
المحلل
dast
الفئة
ترويسة Host
الخطورة
—
CWE
—
التنفيذ
نشط
المصادقة
غير مطلوبة
Dockerfile uses ADD when COPY would sufficeIAC_DOCKER_ADD_INSTEAD_OF_COPY
المحلل
textscan
الفئة
البنية التحتية ككود
الخطورة
LOW
CWE
CWE-829
التنفيذ
سلبي
المصادقة
غير مطلوبة
Kubernetes pod uses hostNetwork: trueIAC_K8S_HOST_NETWORK
المحلل
textscan
الفئة
البنية التحتية ككود
الخطورة
HIGH
CWE
CWE-250
التنفيذ
سلبي
المصادقة
غير مطلوبة
Kubernetes pod runs with privileged: trueIAC_K8S_PRIVILEGED_CONTAINER
المحلل
textscan
الفئة
البنية التحتية ككود
الخطورة
HIGH
CWE
CWE-250
التنفيذ
سلبي
المصادقة
غير مطلوبة
Kubernetes container runAsUser: 0 (root)IAC_K8S_RUNS_AS_ROOT
المحلل
textscan
الفئة
البنية التحتية ككود
الخطورة
HIGH
CWE
CWE-250
التنفيذ
سلبي
المصادقة
غير مطلوبة
اختبارات الحقنinjection
المحلل
dast
الفئة
الحقن
الخطورة
—
CWE
—
التنفيذ
نشط
المصادقة
غير مطلوبة
eval() with non-literal argumentJS_EVAL_LITERAL
المحلل
textscan
الفئة
الحقن
الخطورة
HIGH
CWE
CWE-95
التنفيذ
سلبي
المصادقة
غير مطلوبة
التلاعب بطريقة HTTPmethod-tamper
المحلل
dast
الفئة
التلاعب بالطريقة
الخطورة
—
CWE
—
التنفيذ
نشط
المصادقة
غير مطلوبة
yaml.load()‎ دون SafeLoaderpython-yaml-load-unsafe
المحلل
semgrep
الفئة
الحقن
الخطورة
HIGH
CWE
CWE-502
التنفيذ
سلبي
المصادقة
غير مطلوبة
تحديد معدل الطلباتratelimit
المحلل
dast
الفئة
تحديد معدل الطلبات
الخطورة
—
CWE
—
التنفيذ
سلبي
المصادقة
غير مطلوبة
Anthropic API key hardcodedsecrets/ANTHROPIC_API_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
AWS Access Key ID hardcodedsecrets/AWS_ACCESS_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
AWS Secret Access Key hardcodedsecrets/AWS_SECRET_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Hardcoded credential in .env filesecrets/ENV_SECRET
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
GCP service-account JSON key hardcodedsecrets/GCP_SERVICE_ACCOUNT
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Hardcoded API key or tokensecrets/GENERIC_API_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
GitHub token hardcodedsecrets/GITHUB_TOKEN
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Google API key hardcodedsecrets/GOOGLE_API_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Hardcoded password in source codesecrets/HARDCODED_PASSWORD
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-259
التنفيذ
سلبي
المصادقة
غير مطلوبة
Hardcoded JWT tokensecrets/JWT_TOKEN
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Hardcoded JWT tokensecrets/JWT_TOKEN_HEADER
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
npm registry token hardcodedsecrets/NPM_TOKEN
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
OpenAI API key hardcodedsecrets/OPENAI_API_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Private key material hardcodedsecrets/PRIVATE_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-321
التنفيذ
سلبي
المصادقة
غير مطلوبة
Slack token hardcodedsecrets/SLACK_TOKEN
المحلل
secrets
الفئة
الأسرار
الخطورة
HIGH
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة
Stripe live secret key hardcodedsecrets/STRIPE_LIVE_KEY
المحلل
secrets
الفئة
الأسرار
الخطورة
CRITICAL
CWE
CWE-798
التنفيذ
سلبي
المصادقة
غير مطلوبة

حدود الفهرس

تتحدد تنبيهات التبعيات ونتائج الإضافات الخارجية بحسب البيانات، لذلك لا تكوّن قائمة قواعد محدودة. ويملك محرك Python معرّفات داخلية للقواعد لا تحفظها مرحلة الإنهاء في v3.7.0 كمعرّفات دائمة في التقرير؛ لذلك لا يعرضها هذا الفهرس كمعرّفات عامة مستقرة. يظل تنفيذها وتغطيتها ظاهرين في سجل المحللات.

فتح سجل المحللات