- المحلل
- textscan
- الفئة
- الحقن
- الخطورة الافتراضية
- HIGH
- CWE
- CWE-611
- التنفيذ
- سلبي
- المصادقة
- غير مطلوبة
- نطاق الانطباق
- java
- الإتاحة
- stable
ما الذي يرصدُه؟
يرصد الفحص JAVA_XXE (XML external entity (XXE): XML parser factory created without hardening) ضمن فئة الحقن، ويشغّله المحلل textscan.
الأدلة
مسار المصدر والسطر وملاحظة محدودة من الشيفرة تنتجها القاعدة الأصلية.
المعالجة
افصل البيانات غير الموثوقة عن بناء الأوامر أو الاستعلامات، واستخدم الربط أو واجهات ذات أنواع حيثما ينطبق.
النص المسجل في القاعدة: Disable DOCTYPE/external entities: factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) (or XMLConstants.FEATURE_SECURE_PROCESSING). Prefer a parser that rejects external entities by default.
الحدود
يقتصر هذا الفحص على نطاق الانطباق والأدلة التي يسلّمها المحلل textscan. راجع الدليل في سياقه؛ فالمطابقة مدخل للنتيجة، بينما تحدد الثقة والسياسة تصرفها.
مراجع مرتبطة
سجل المحللات · النتائج وقرارات الإصدار · السياسة ومستوى الثقة
إرشادات المعالجة: المعالجة والتحقق من الإصلاح · خطوط الأساس والاستبعادات