規則更新

1.5.0 版中的規則更新

註：
  1. 新增規則
  2. 已減少規則中的雜訊
語言 CWE 說明
ASP.NET CWE-1188 在專案配置中啟用了無 Cookie 階段作業狀態。2
CWE-79 程式碼中的行內表示式有潛在 XSS。2
C# CWE-601 變數中有內含潛在使用者控制資料的要求重新導向。2
CWE-185 正規表示式注入。2
CWE-78 針對 OS 注入，已進行調整，以減少有雜訊的發現項目。
HTML CWE-79 副檔名的新規則：
  • htm
  • html
  • rhtml
  • xhtml
  • cshtml
  • vbhtml
CWE-319
CWE-524
CWE-525
CWE-598
CWE-1021
CWE-1022
IaC CWE-798 針對 TypeScript 程式碼建構，已進行調整，以減少有雜訊的發現項目。
CWE-1051 針對 HTML 檔案中的 IP 模式，已進行調整，以減少有雜訊的發現項目。
CWE-1328 針對 Docker 映像檔參照，已進行調整，以減少有雜訊的發現項目。
IaC Terraform CWE-410 負載平衡器配置不安全。1
Java CWE-337 Java 程式碼中有 SecureRandom 執行個體的可預測種子。2
CWE-918 RestTemplate().exchange 中有偽造伺服器端要求。2
CWE-185 Java 程式碼中有正規表示式注入。2.
CWE-244 密碼已儲存在 Java 字串物件中。2
JavaScript CWE-79 document.referrer 的使用方式不安全。2
CWE-209 已進行調整，以減少有雜訊的發現項目。
CWE-359 已進行調整，以減少有雜訊的發現項目。
CWE-1022 針對 window.open 發現項目，已進行調整，以減少有雜訊的發現項目。
PHP CWE-79 PHP 內使用者控制的資料已轉換為 HTML。2
Python Django CWE-79
  • 現在收集 HTML 檔案以針對 Python 進行檢閱
  • 已新增新規則。
CWE-89
CWE-200
CWE-201
CWE-212
CWE-352
CWE-497
CWE-522
CWE-523
CWE-795
CWE-918
CWE-1021
CWE-1188
CWE-1295
機密 CWE-798 寫在程式中的基本鑑別認證。1
CWE-798 尋找在 URL 查詢字串內找到之寫在程式中的密碼。
CWE-284 已進行調整，以減少 Azure 共用存取簽章記號外洩發現項目中有雜訊的發現項目。
VB.NET CWE-502 可能發生解除序列化。2
Visual Basic CWE-78 已進行調整，以減少有雜訊的發現項目。
CWE-328 已進行調整，以減少有雜訊的發現項目。

1.4.0 版中的規則更新

註：
  1. 新增規則
  2. 新自動修正規則
  3. 規則修正

語言 CWE 變更
一般 CWE-319 更妥善處理所有語言的開放通訊規則，避免產生有雜訊的發現項目。
.NET ASP.NET CWE-1188 在 ASP.NET 專案配置中啟用了無 Cookie 階段作業狀態。2
C# CWE-319 偵測到開放通訊架構。2
CWE-328 偵測到低強度密碼演算法。2
CWE-327 偵測到未使用簽章驗證的 JWT Builder。2
VB.NET CWE-1173 在 VB 程式碼中停用了 HTTP 要求驗證。2
CWE-328 在 VB 程式碼中使用了低強度密碼演算法。2
Angular CWE-94 沙箱 VM 中有潛在程式碼注入漏洞。1
CWE-312 本端儲存空間可避免與排序方向有關的 setItem 呼叫。
AngularJS CWE-477 找到已淘汰的呼叫：(ng-bind-html-unsafe)。2
Apex CWE-943 SOQL 注入。2
CWE-943 SOSL 注入。2
CWE-328 選擇了低強度雜湊演算法。2
CWE-79 指令碼或樣式跨網站指令碼攻擊 (XSS)。2
ASP CWE-319 在 ASP 程式碼中偵測到開放通訊架構。2
CWE-79 使用 Server.HTMLEncode 檢查驗證是否正確。
C/C++ CWE-367 使用的暫存檔命名函式可能有危險。已更正內容並啟用自動修正。3
CWE-78 偵測到潛在指令注入。已擴大涵蓋範圍。3
CWE-250 CreateFile 呼叫似乎違反最低專用權原則。2
CWE-250 CreateNamedPipe 缺少 FILE_FLAG_FIRST_PIPE_INSTANCE 旗標。2
CWE-757 發現使用了不安全的 (SSL/TLS) 通訊協定。2
CWE-295 發現使用的 Curl 配置可能有危險（此類配置中使用了七個不同規則）。2
CWE-427 偵測到可能的最低專用權登錄操作原則。2
CWE-611 啟用了不安全的外部實體處理。2
ColdFusion CWE-524 cfCache 快取安全頁面。2
CWE-502 cfWddx 缺少 WDDX 驗證。2
CWE-862 用戶端未在 cfFunction 中驗證。2
CWE-319 不安全通訊。2
CWE-307 多重提交驗證。2
CWE-327 加密函式中使用了不安全的演算法。2
CSS CWE-79 已進行調整，以避免有雜訊的發現項目。
Dart CWE-522 為可能屬於機密的欄位開啟了 AutoComplete。2
CWE-319 HttpServer 偵測到開放通訊架構。2
CWE-319 偵測到開放 Socket 通訊。2
CWE-319 偵測到含有 URI 的開放通訊架構。2
CWE-79 不安全地使用了以 Dart 程式碼開啟的視窗。2
CWE-319 在字串中偵測到開放通訊架構。2
CWE-79 找到不安全的內容安全原則關鍵字。2
CWE-328 在呈現發現項目時更具選擇性，並避免較明顯的雜訊發現項目。
CWE-319 已進行調整，以避免有雜訊的發現項目。
Docker CWE-770 限制 CPU 以防止阻斷服務 (DoS) 攻擊。2
CWE-770 限制失敗時重新啟動的次數，以防止阻斷服務 (DoS) 攻擊。2
Go CWE-489 偵測到用於 HTTP 的除錯套件 pprof。2
CWE-1004 Golang 程式碼含有不安全的 http.Cookie。2
CWE-319 在 Golang 程式碼中偵測到開放通訊架構。2
Groovy CWE-319 在 Groovy 程式碼中偵測到開放通訊架構。2
CWE-79 在 Groovy 原始碼中偵測到潛在的跨網站指令碼攻擊漏洞，已為所有執行個體新增額外的自動修正功能。2
Java CWE-489 在 Web 安全機制中啟用除錯功能，導致資料顯示在 Spring 中。2
CWE-1390 忽略 SAML 中的註解，導致鑑別中斷。2
CWE-548 Tomcat 配置中預設 servlet 提供的目錄清單不安全。2
CWE-276 在 Java 中偵測到不安全的檔案許可權使用情況。2
CWE-489 在 Java 程式碼中偵測到列印堆疊追蹤。2
CWE-489 Android 應用程式中的可除錯旗標設為 True。2
CWE-1188 在 Android 程式碼中偵測到不當的共用喜好設定模式。2
JavaScript CWE-359 不安全的事件傳輸原則：已更正內容，並啟用自動修正。3
CWE-79 在 jQuery.append 中偵測到潛在的 XSS 漏洞。效能現在更為快速。3
CWE-79 覆寫 Mustache 跳出方法是危險的做法。2
CWE-319 不安全的事件傳輸原則。2
CWE-200 已在 window.postMessage 呼叫中新增危險目標來源檢查功能。
CWE-913 已進行修改，以避免有雜訊的發現項目。
Java 原始碼掃描器 CWE-918 在 RestTemplate().exchange 呼叫中尋找 SSRF。
CWE-303 尋找 NoOpPasswordEncoder.getInstance 危險呼叫。
CWE-89 尋找 SQLi 的其他案例。
CWE-22 在更多地方尋找可能的路徑遍訪問題
CWE-798 在 HashMap.put 呼叫和 setter 中尋找寫在程式中的憑證。
Jquery CWE-79 已進行修改，以避免有雜訊的發現項目。
Kotlin CWE-319 在 Kotlin 程式碼中偵測到開放通訊。2
NodeJS CWE-614 Cookie 缺少安全旗標，或是將旗標設為不安全值。2
CWE-328 在密碼編譯 createCipheriv 中使用了不安全的演算法。2
CWE-295 停用 Node-curl 的 SSL 憑證驗證配置不安全。2
CWE-78 發現了 Exec 殼層產生。2
CWE-1004 不安全的配置：缺少 HTTPOnly Cookie 屬性。2
Objective-C CWE-319 在 Objective-C 程式碼中偵測到開放通訊架構。2
CWE-798 已進行修改，以避免增加有雜訊的發現項目。
PHP CWE-10041 機密 Cookie 缺少 HttpOnly 旗標。2
CWE-6141 HTTPS 階段作業中的機密 Cookie 缺少 secure 屬性。2
CWE-791 偵測到內嵌的 PHP 變數2
CWE-981 在 PHP 程式碼中偵測到潛在的檔案併入漏洞。2
CWE-6111 在 PHP 程式碼中偵測到 XML 外部實體注入。2
CWE-78 PHP 指令執行可能使用了使用者提供的資料。已擴大涵蓋範圍。3
CWE-644 發現潛在的標頭注入。已擴大涵蓋範圍。3
CWE-327 偵測到使用不安全的演算法，已擴大檢查。已擴大涵蓋範圍。3
CWE-319 在 PHP Symfony 架構中偵測到開放通訊。2
CWE-1004 setcookie 中缺少 HTTPOnly 旗標或旗標不安全。2
CWE-319 偵測到開放通訊架構。2
CWE-544 error_reporting 指引未設為允許可能的最高層次錯誤報告2
CWE-798 檢查值，並確定值是否真的是代表以純文字格式儲存在程式碼中之可能密碼的字串文字。
PL/SQL CWE-331 DBMS_RANDOM 的使用方式不安全。2
Python CWE-311 URL 使用了 http。已擴大涵蓋範圍。3
CWE-311 TOCTTOU 競爭條件暫存檔。已修正掃描涵蓋範圍，並啟用自動修正。3
CWE-367 TOCTTOU 競爭條件暫存檔。2
CWE-319 URL 使用了http。2
CWE-78 Python OS 注入。2
CWE-319 不安全的 FTP 用法。2
CWE-78 Popen 指令注入。2
CWE-276 使用 777 搭配 umask。2
CWE-319 已更正自動修正功能，以解決某些情況下的錯誤取代問題。
ReactNative CWE-319 偵測到開放通訊。已更正內容並啟用自動修正。3
CWE-319 偵測到開放通訊。2
CWE-295 偵測到 SSL Pinning 停用動作。2
RPG CWE-319 在程式碼中偵測到開放通訊。2
Ruby CWE-78 反引號的使用方式不安全，規則運算式需要改進。已擴大涵蓋範圍。3
CWE-78 反引號的使用方式不安全。已擴大涵蓋範圍。3
CWE-425 Ruby 大量指派。2
CWE-359 Ruby 資訊揭露。2
Scala CWE-319 在 Scala 程式碼中偵測到開放通訊架構。2
CWE-79 在 Scala 原始碼中偵測到透過 Cookie 存取的潛在用戶端指令碼攻擊漏洞。2
機密 CWE-1051 偵測到寫在程式中的 IP 位址。已擴大涵蓋範圍。3
CWE-798 偵測到寫在程式中的認證。已擴大涵蓋範圍。3
CWE-798 避免壓縮的 JS 檔案。
CWE-798 避免分析轉換檔以減少雜訊
Swift CWE-319 在 Swift 程式碼中偵測到開放通訊架構。2
CWE-79 在 iOS UIWebView 中使用 loadRequest() 時偵測到潛在的跨網站指令碼攻擊漏洞。2
Terraform CWE-359 偵測到 AWS 執行個體揭露使用者資料機密。2
CWE-778 Azure 日誌監視設定檔應定義所有必要類別。2
CWE-732 預設服務帳戶用於資料夾、專案或組織層級。2
CWE-671 SQL 伺服器中未啟用電子郵件服務和共同管理員。2
CWE-923 確認 Azure 儲存體帳戶的預設網路存取已設為拒絕。2
CWE-923 確認 GCP 防火牆規則不允許未限制的存取。2
CWE-732 Google Compute 執行個體可公開存取。2
CWE-732 Google Storage 儲存區可公開存取。2
CWE-732 Amazon S3 儲存區的存取權不安全。2
CWE-1220 輸出流量安全群組 cidr_blocks 新增的規則檢查功能設為「非強制」。
TypeScript CWE-943 在 TypeScript 檔案中尋找 NoSQL MongoDB 注入。
CWE-943 尋找 SQLi 的其他案例。
Visual Basic CWE-319 在 VB 程式碼中偵測到開放通訊架構。2
VueJS CWE-79 已進行調整，避免已在方法宣告中找到發現項目的情況下產生發現項目。
Xamarin CWE-319 在 Xamarin 中偵測到開放通訊。2