规则更新

ASoC 中的最新规则更新。

2026 年 7 月 20 日的新增功能

  1. 新规则。
语言 CWE 描述
C# CWE-22 避免产生噪音的文件模式，例如 delete、rename 和 mkdir。这些模式通常会产生噪音，并且无法表明存在路径遍历漏洞。
CWE-94 检测 RazorLight 模板编译中是否存在服务器端模板注入 (SSTI) 漏洞。该规则旨在检测是否有不受信任的用户输入被传递给 CompileTemplate 方法，而未进行适当的清理或验证。1
CWE-352 检测 ASP.NET Core 应用程序中是否缺少 CSRF 保护。该规则旨在检查控制器操作上是否存在 [ValidateAntiForgeryToken] 属性，或者是否进行了防伪造服务的全局配置。如果两者都不存在，则该规则会将操作标记为可能易受 CSRF 攻击。1
CWE-918 检测 HttpClient 使用过程中的服务器端请求伪造 (SSRF) 模式。该规则旨在检查是否有不受信任的用户输入被用于构建 HttpClient 请求的 URL，而未进行适当的验证或白名单限制。1
CWE-1275 检查是否存在设置了 SameSiteMode.None 且未启用 Secure 标志的 Cookie。此配置可能导致跨站点请求伪造 (CSRF) 漏洞。1
IaC CWE-1328 避免在 Dockerfile 中将变量标记为基础映像，因为这会导致在检测不安全的基础映像版本时出现误报。
Java CWE-22 针对路径遍历问题，扩大了对多个 API 的覆盖范围：
  • FileSystemUtils.deleteRecursively
  • Files.createDirectories
  • Files.move
  • Files.deleteIfExists
  • Files.write
  • Files.writeString
  • 新 File
  • File.delete
  • File.mkdir
  • File.mkdirs
  • File.listFiles
  • File.renameTo
CWE-89 减少 Java 代码 SQL 注入检测中的噪音，重点关注高风险模式和已知易受攻击的结构。
CWE-489 扩大了 printStackTrace() 的覆盖范围，该方法带有一个用于重定向输出的参数
CWE-502 检测 Java 应用程序中是否存在使用 ObjectInputStream 进行的不安全反序列化操作。该规则旨在是否有不受信任的数据被传递给 ObjectInputStream，而未进行适当的验证或过滤。1
CWE-552 检测 Java 应用程序中使用 getRequestDispatcher 时可能出现的安全问题。1
PHP CWE-22 从 PHP 的路径遍历检测中移除了 file_get_contents，因为它会产生误报。
CWE-397 由于在 PHP 中针对“抛出常规异常”的检测会产生误报，因此已将其移除。
PLSQL CWE-89 移除了用于查找“as external”的规则，因为该规则会产生误报，并且在检测 SQL 注入漏洞方面没有显著价值。
Python CWE-78 在 Flask 模板注入检测中，涵盖了更多的字符串拼接场景。
CWE-80 查找 Python 应用程序中可能导致 XSS 漏洞的可疑格式字符串，尤其是在与 HTML 元素和变量拼接结合使用时。1
CWE-89 检测 Python 应用程序中潜在的 SQL 注入漏洞，特别是查找可能在未进行适当参数化或清理的情况下用在 SQL 查询中的格式字符串。1
CWE-215 检测将 Flask 应用程序与 debug=True 结合使用的情况，这可能会暴露敏感信息并导致出现安全漏洞。1
CWE-295 检测将 requests.get 与 verify=False 结合使用的情况，这可能会导致 SSL/TLS 连接不安全。1
CWE-338 检测对安全敏感操作使用随机模块的情况，这可能会导致可预测的输出和漏洞。1
CWE-601 检测在未进行验证的情况下将用户提供的请求参数（例如，request.args、request.form）直接传递给 redirect() 调用的行为。这使攻击者能够构造将受害者重定向到任意外部网站的 URL。1
CWE-918 检测 Python 中不安全的请求库使用情况
CWE-1336 在 Flask 模板注入检测中，涵盖了与变量进行字符串拼接的场景。
密钥 CWE-284 排除了包含日期且非机密的 URL 模式。这会在 yaml 文件中产生误报。
CWE-798
  • 减少了 Python 机密检测中的噪音，将重点集中于高熵字符串以及 Atlassian 机密的已知机密模式上。
  • 减少机密检测中的噪音。将排除名称中同时包含 password、agent 或 auth 与 user 的值以及键名与键值相同的任何项。这些很可能都不是真正的机密模式，现将其视为噪音予以排除。
  • 在进行机密检测时，排除了 TypeScript 文件中的枚举，因为这些通常并非敏感信息，且容易产生误报。
  • 在进行机密检测时，排除了 secret、key 和token 等一些噪音关键字，因为这些关键字可能会产生误报。
  • 排除了 yaml 文件中的环境变量。
  • 添加了将 pswd 作为潜在机密变量名称的检查

2026 年 7 月 7 日的新增功能

语言 CWE 描述
C# CWE-22 新增用于在 C# 中检测通过多个 API 进行路径遍历的规则
CWE-601 新增用于检测可以的重定向使用行为的规则
PHP CWE-98 移除了用于查找具有可疑模式的 include 的规则。此规则产生噪音的频率过高。
CWE-473 移除了用于查找嵌入式 PHP 变量的规则。此规则产生噪音的频率过高。
Java CWE-611 对 XXE 规则进行了调整，将覆盖范围扩展到更多 XML 解析器
密钥 CWE-798 减少了跨多种语言和数值时的噪音。

2026 年 7 月 1 日的新增功能

语言 CWE 描述
所有语言 CWE-283 通过 AI 增强了检测能力。
CWE-639
CWE-640
CWE-708
CWE-770
CWE-826
CWE-837
CWE-841

2026 年 6 月 18 日的新增功能

语言 CWE 描述
CSS 改进了 CSS 扫描程序的性能，使其在处理超大 HTML 文件时能够避免占用过多时间。
Java CWE-22 扩展了 java.nio.file.Path 和 java.io.File API 的覆盖范围。
CWE-611 现已正确处理了 XMLReaderFactory.createXMLReader() 和 sxabuilder.setXMLReaderFactory 样式调用，以实现安全的设置验证。
移除了 Java 计时攻击规则，因为相关底层问题在 Java 中无法被利用，并且该规则对安全代码生成了误报。
Javascript CWE-521 增强了对 JavaScript 对象中字面量（如 JSON 对象）的检测能力。

2026 年 5 月 11 日的新增功能

  1. 新建规则
语言 CWE 描述
Delphi CWE-120 检查 StrCopy、StrCat、StrPCopy、lstrcpy 和 lstrcat 的不安全用法。1
CWE-143 检查格式化字符串使用中的不安全格式。1
CWE-295 检查禁用 SSL 证书验证的设置。1
CWE-33 检查 RandSeed 的使用情况。1
CWE-367 检查文件中是否存在 TOCTOU（检查时间\使用时间）竞争条件。1
CWE-522 检查加密密钥是否为空或为 Null。1
CWE-522 检查数据库连接字符串中是否存在硬编码的凭证。1
CWE-539 检查是否存在过长的 Cookie 到期时间。1
CWE-693 检查是否使用了已弃用的 X-XSS-Protection 标头。1
CWE-693 检查是否禁用了安全编译器指令。1
CWE-703 检查是否存在不当的异常重新抛出。1
CWE-732 检查新 Cookie 中是否存在不安全的域名条目。1
CWE-732 检查是否存在不安全的 Cookie 路径条目。1
Java CWE-79 检查 SpringBoot 控制器的 HTTP 响应中是否存在未清理的用户输入。1
CWE-208 检查是否存在涉及潜在敏感字符串的计时攻击。1
CWE-215 检查是否存在暴露敏感信息的 SpringBoot 配置。1
CWE-338 增强了用于检测弱随机数生成器的规则检查所查找的 API
CWE-502 检查是否存在 XStream 反序列化的不安全使用情况。1
CWE-611 增强了用于同时检查是否存在不安全的 XMLInputFactory 配置的规则。
CWE-614 检查新 Cookie 上缺少的安全标志。1
CWE-749 检查 Spring 应用程序中是否存在不安全的 RequestMapping 注释。1
CWE-76 检查单向哈希算法中是否存在可预测的盐。1
CWE-922 检查是否在 HTTP 会话中存储敏感数据。1
CWE-1275 检查 Cookie 中是否存在安全的 SameSite 设置。1
HTML CWE-798 添加了针对包含硬编码值的硬编码输入元素类型密码字段的检查。
注：
已添加到源代码扫描程序和混合扫描程序中。
密钥 CWE-798 添加了对 JWT 硬编码凭证的检查。
CWE-798 添加了对通过 Base64.encode 调用传递的硬编码凭证的检查。

2026-04-16

  1. 新规则。
语言 CWE 描述
Java CWE-502 添加了针对不安全反序列化的额外检查。1
CWE-532 添加了对敏感日志记录缺陷的额外检查。1
CWE-1004 添加了对 Cookie 上缺少 HttpOnly 标志的全新检查。1
密钥 CWE-798 优化了检查硬编码凭证时的机密性能。

2026-04-07

  1. 新增覆盖范围。
语言 CWE 描述
Delphi，包括 Object Pascal1 CWE-22 不当地将路径名限制为受限目录
CWE-77 对命令中使用的特殊元素中和不当
CWE-78 对操作系统命令中使用的特殊元素中和不当
CWE-79 对 Web 页面生成期间的输入的中和不当（跨站点脚本编制）
CWE-89 对 SQL 命令中使用的特殊元素中和不当
CWE-94 对代码生成的控制不当（“代码注入”）
CWE-99 对资源标识符的控制不当（“资源注入”）
CWE-119 对内存缓冲区边界内的操作限制不当
CWE-120 未检查输入大小的缓冲区复制
CWE-200 信息泄露
CWE-266 权限分配不正确
CWE-295 证书验证不当
CWE-312 敏感信息的明文存储
CWE-327 使用损坏或有风险的加密算法
CWE-328 使用弱哈希
CWE-330 使用不够随机的值
CWE-338 使用了加密强度弱的伪随机数生成器 (PRNG)
CWE-345 数据真实性验证不足
CWE-434 未限制上载危险类型的文件
CWE-497 将系统数据暴露给未经授权的控制范围
CWE-502 反序列化不受信任的数据。
CWE-614 HTTPS 会话中的敏感 Cookie 没有“Secure”属性
CWE-643 对 XPath 表达式中数据的中和不当（“Xpath 注入”）
CWE-760 使用带可预测盐的单向哈希
CWE-780 使用不带 OAEP 的 RSA 算法
CWE-787 越界写入
CWE-798 使用硬编码的凭证
CWE-942 包含不受信任域的宽松跨域策略
CWE-1004 无“HttpOnly”标志的敏感 Cookie
MuleSoft1 CWE-22 不当地将路径名限制为受限目录（“路径遍历”）
CWE-78 对操作系统命令中使用的特殊元素中和不当（“操作系统命令注入”）
CWE-79 对 Web 页面生成期间的输入中和不当（“跨站点脚本编制”）
CWE-89 对 SQL 命令中使用的特殊元素中和不当（“SQL 注入”）
CWE-94 对代码生成的控制不当（“代码注入”）
CWE-306 关键功能缺少认证
CWE-319 敏感信息的明文传输
CWE-326 不充分的加密强度
CWE-338 使用了加密强度弱的伪随机数生成器 (PRNG)
CWE-359 向未经授权的参与者公开个人隐私信息
CWE-497 将敏感的系统信息暴露给未经授权的控制范围
CWE-532 将敏感信息插入日志文件
CWE-611 XML 外部实体引用的限制不当
CWE-942 包含不受信任域的宽松跨域安全策略
CWE-1287 对指定输入类型的验证不当
PHP CWE-79 对 Web 页面生成期间的输入中和不当（“跨站点脚本编制”）
密钥 CWE-798 使用硬编码的凭证
将超时设置为一秒以加快扫描速度。
添加了 .properties 文件，用于查找硬编码机密。

2026-02-10

  1. 新规则。
语言 CWE 描述
C# CWE-215 检查日志调用中是否存在包含敏感信息的可疑变量。1
CWE-397 检测常规抛出异常（如 throw new Exception 或 throw new SystemException）的潜在安全隐患。
Dart CWE-943 查找 NoSQL 注入。1
CWE-338 查找弱伪随机数。1
CWE-116 查找 File.writeAs 风格调用。1
CWE-79 审查 Response.ok 及类似调用的潜在不安全用法。1
CWE-348 查找潜在的不安全目录列表。1
CWE-78 检查 Process.ru 的不安全用法。1
CWE-89 覆盖 SQL 注入风险的 query/execute/prepare 风格调用。1
Java CWE-215 检查日志调用中是否存在包含敏感信息的可疑变量。1
CWE-397 查找常规且潜在危险的抛出异常模式，如 throws Exception 或 throws Throwable。
CWE-396 查找常规 catch 块，如 catch(Exception e) 或 catch (Throwable t)。1
JavaScript CWE-397 查找常规且潜在危险的抛出语句，如 throw "message"。
CWE-80 修复了使用 @if 模式但非 Handlebars 模板的缺陷。
Perl CWE-732 为 IO::File::open 调用提供更完整的覆盖。
PHP CWE-397 查找常规且潜在不安全的通用抛出异常，例如 throw Error("foo")。
Python CWE-397 查找常规且潜在不安全的通用抛出异常，例如 raise BaseException。
密钥 CWE-798 新增针对硬编码机密的 privateKey 检测。

此外，CWE-319 规则整体进行了更新。我们移除了检测代码中不安全 http 样式字符串的规则，因为其产生的干扰过多。在混合扫描程序中，我们仍会针对合理场景（如 JavaScript 中的 fetch 调用）检测开放通信的具体实例。

本次 CWE-319 变更影响以下语言：
  • ASP
  • Golang
  • Groovy
  • Kotlin
  • Objective-C
  • PHP
  • Scala
  • Swift
  • C#
  • Dart
  • RPG
  • VB
  • Xamarin

2025-12-18

语言 CWE 描述
Android Java CWE-319 新增覆盖范围：检查在 AndroidManifest.xml 文件中是否将 usesCleartextTraffic 或 cleartextTrafficPermitted 设置为 true，这是一种不安全的做法。
C# CWE-89 新增覆盖范围：新增 SQL 注入检测，除原有模式外新增 += 模式及部分存储过程模式。
CWE-89 新增覆盖范围：强化检测约束条件，确保仅在查询语句中触发以减少干扰。
CWE-1004 误报减少：检测 http=true 设置，若存在则避免生成问题。
Dart：Flutter

（新增框架支持，新增覆盖项）		 CWE-35 检查 MethodChannel 是否使用可能受用户操控的路径参数。
CWE-78 检测 MethodChannel 调用中潜在的操作系统注入风险。
CWE-80 检查 WebView 或 InAppWebView 是否存在未受限制的 JavaScript 执行，此为危险做法。
CWE-89 支持 Flutter 专属的 sqflite 数据库 API
CWE-117 发现未被调试控制包裹的 print 及类似语句。此类调用通常不应出现在调试分支外的生产代码中。
CWE-312 规则检查 FlutterSecureStorage 是否存储疑似私密信息，如密码或其他会话数据。
CWE-598 检查导航器对象中查询参数的潜在不安全用法。
CWE-918 在 MethodChannel.invokeMethod 中查找用户可控 URL 作为 SSRF 攻击载体。
JavaScript：Angular CWE-80 误报减少：检查确保不在 @if 模板中
密钥 CWE-798 新增覆盖范围：新增对 Tuleap 的支持。
CWE-798 新增覆盖范围：检查 equalsIgnoreCase 调用内部是否存在硬编码密码。
CWE-798 误报减少：避免为机密扫描程序针对 C/C++ 注释代码添加问题。
Swift CWE-1188 新增覆盖范围：检查 info.plist 文件中是否存在 UIFileSharingEnabled 或 LSSupportsOpeningDocumentsInPlace 设置为 true 的不安全配置。

2025-11-06

  1. 新规则。
语言 CWE 描述
NodeJS CWE-78 新增对危险 child_process.exec 调用的检测。
Perl CWE-89 减少 SQL 注入规则中的干扰，此类规则曾错误地针对参数化语句产生问题。
CWE-732 减少使用 STDIN 作为输入的开放调用噪声。
PHP CWE-213 新增对 PHP 代码中残留 phpInfo 调用的检查。1
CWE-89 新增检查以通过 sqlite_escape_string 验证并排除问题。
TypeScript CWE-94 新增检查：eval 表达式是否包含潜在用户可控变量。

2025-10-07

  1. 新规则。
语言 CWE 描述
C# CWE-89 减少 SQLi 检测中的误报。
Java CWE-209 检查代码中 System.out 和 System.err 的使用情况（这些是应从生产代码中移除的调试调用）。1
密钥 CWE-1051 误报减少：硬编码 IP 地址检查可避免将疑似版本号的字符串误报
CWE-798 减少 Atlassian 机密检测中的误报。
CWE-798 减少机密信息中密钥/值对的误报。
CWE-798 新增检测范围，可查找字符串中包含“1234”作为其一部分的硬编码密码。

2025-09-10

  1. 新规则。
语言 CWE 描述
CSS CWE-79 减少对 .css 文件进行硬编码变量检查时的误报。
Go CWE-79 减少 fprintf 检查中产生的误报。
IaC Docker CWE-22 检查在 DockerFile 中添加的敏感路径。1
IaC Kubernetes CWE-209 已添加一项检查，用于查找遗留在 .yaml 配置文件中的堆栈跟踪代码。1
Java CWE-78 查找 Runtime.getRunTime() 的内联调用。
CWE-757 增强了对不安全和已损坏项的检查列表。
CWE-916 检查 PBEKeySpec 和 PBEParameterSpec 的迭代计数是否过低。1
CWE-1188 针对使用大值或用户可控值的 StringBuilder 构造函数进行拒绝服务检查。1
PHP CWE-89 已为 sqlite_escape_string 添加验证器检查。
密钥 CWE-798 一些无关模式被移除，不再作为结果。
CWE-798 在 web.config 文件中查找硬编码凭证。
CWE-1051 对硬编码 IP 地址的检查已进行调整，可避免将貌似 IP 地址的非 IP 字符串误报。

2025-07-14

  1. 新规则。
语言 CWE 描述
Python CWE-78 查找 os.system 的不安全使用情况。1
CWE-79 提高了 Python Django 规则的清晰度。
密钥 CWE-1051 移除了硬编码 IP 地址检查的无关模式。
CWE-798 移除了硬编码凭证的无关模式：
  • 避免在 Rust 代码中使用无关模式。
  • 在“Secrets - Creds - Key : value pair”规则中增加了检查，以消除 Python 文件中没有引号的结果。
  • 增加了检查以过滤无关的密码，如 1234、wrongpassword、testpassword、noreply。
  • 对其他代码片段进行了调整，以消除包含 1234 等密码的结果。
  • 目前，键值对规则会查找上下文直到行尾。因此，移除了具有 , 或 " 的行尾。

2025-06-13

Java 的标记添加：
  • 68 个新来源
  • 10 个新接收器
语言 CWE 描述
密钥 一些无关模式被移除，不再作为结果。
Java 源代码 CWE-111 增加了对 DllImport 的危险使用情况的检查。
CWE-918 增加了对具有潜在用户控制数据的 URL openStream 的检查。

2025-05-07

此版本中的所有规则更新都是新规则。

语言 CWE 描述
C# 源代码扫描程序 CWE-94 检查 CSharpScript.EvaluateAsync。
CWE-532 检查用户名或密码等个人身份信息 (PII) 的记录。
CWE-111 检查 DllImport 的不安全使用情况。
Java 源代码扫描程序 CWE-532 检查用户名或密码等个人身份信息 (PII) 的记录。
CWE-102 检查 Struts 验证 XML 文件中是否存在重复的表单名称。
CWE-104 检查是否存在继承了 ActionForm 但未进行验证的类。
PHP CWE-111 检查包含不安全调用的 FFI::cdef 的使用情况。
Python CWE-111 检查未对参数使用完全限定路径的 ctypes.DLL 的使用情况。

2025-04-01

  1. 新规则
语言 CWE 描述
所有语言 CWE-798 改进了降噪性能
C# CWE-328 AutoFix 应用更现代的函数调用
CWE-1333 检查应用于 regex 对象的超时1
CWE-89 通过使用 String.Append 构建查询语句而新捕获的 SQLi
更新了 Microsoft.CodeAnalysis.CSharp.Scripting 和 Microsoft.AspNetCore.Mvc.ViewFeatures 的安全信息
ColdFusion CWE-328 调整了对提高性能的检查
HTML CWE-319 避免 URL 中出现 localhost 这样的干扰信息
IaC CWE-770 新增两个自动修复程序
CWE-311 针对 Amazon 负载均衡器中的正确 TLS 设置增加了检查
Java CWE-479 更新了自动修复程序
JavaScript CWE-598 查找 JavaScript 文件中的 URLSearchParams 缺陷。1.
Python CWE-502 查找 Java 中的不安全反射1

2024-12-11

语言 CWE 描述
C# CWE-78 进行了调整，以减少操作系统注入的无关结果。
IaC CWE-798 进行了调整，以减少 TypeScript 代码构造的无关结果。
CWE-1051 进行了调整，以减少 HTML 文件中 IP 模式的无关结果。
CWE-1328 进行了调整，以减少 Docker 图像参考的无关结果。
HTML CWE-79 文件扩展名的新规则：
  • htm
  • html
  • rhtml
  • xhtml
  • cshtml
  • vbhtml
CWE-319
CWE-524
CWE-525
CWE-598
CWE-1021
CWE-1022
JavaScript CWE-209 进行了调整，以减少无关的结果。
CWE-359 进行了调整，以减少无关的结果。
CWE-1022 进行了调整，以减少窗户 .open 结果的无关结果。
密钥 CWE-798 正在 URL 查询字符串中查找已找到的硬编码密码。
CWE-284 进行了调整，以减少 Azure 共享访问签名令牌暴露结果中的无关结果。
Visual Basic CWE-78 进行了调整，以减少无关的结果。
CWE-328 进行了调整，以减少无关的结果。

2024-12-03

注：
  1. 新规则
  2. 减少规则中的无关内容
语言 CWE 描述
ASP.NET CWE-1188 项目配置中启用了无 Cookie 会话状态。2
CWE-79 代码中内嵌表达式的潜在 XSS。2
C# CWE-601 在变量中可能由用户控制的数据的重定向请求。2
CWE-185 正则表达式注入。2
IaC Terraform CWE-410 不安全的负载均衡器配置。1
Java CWE-337 Java 代码中 SecureRandom 实例的可预测种子。2
CWE-918 RestTemplate().exchange 中的服务器端请求伪造。2
CWE-185 Java 代码中的正则表达式注入。2
CWE-244 密码存储在 Java 字符串对象中。2
JavaScript CWE-79 document.referrer 的不安全使用。2
PHP CWE-79 PHP 内用户控制的数据转换为 HTML。2
Python Django CWE-79
  • 现在收集 HTML 文件以查看 Python
  • 添加了新规则。
CWE-89
CWE-200
CWE-201
CWE-212
CWE-352
CWE-497
CWE-522
CWE-523
CWE-795
CWE-918
CWE-1021
CWE-1188
CWE-1295
密钥 CWE-798 硬编码的基本认证凭证。1
VB.NET CWE-502 可能的反序列化。2

2024 年 9 月 17 日

注：
  1. 新规则
  2. 新规则或扩展的自动修复规则
语言 CWE 更改
基础结构即代码 (IaC) CWE-250 在 Dockerfile 中检测到 apt-get 命令的不安全使用。1
CWE-1328 在 Dockerfile 中检测到对基本映像版本的不安全使用。1
CWE-276 缺省安全配置文件已禁用。2
JavaScript CWE-1022 引荐来源信息泄露。2
Kotlin CWE-922 Kotlin 代码中发现不正确的数据存储访问。2
PHP CWE-98 allow_url_fopen 指令已启用。2
CWE-98 allow_url_include 指令已启用。2
CWE-94 cgi.force_redirect 指令已禁用。2
CWE-614 HTTPS 会话中不带 Secure 属性的敏感 cookie。2
Python CWE-732 Django 设置中 ALLOWED_HOSTS 的不安全使用。1
CWE-539 Django 中的 CSRF 或会话 Cookie 设置不安全。1
CWE-1021 通过 X_FRAME_OPTIONS 的潜在 ClickjackingvAttack。1
CWE-79 在 Django 模板中使用 safe 或 safeseq 过滤器可能导致出现 XSS 漏洞。1
CWE-79 Django HttpResponse 中潜在的 XSS 漏洞。1
CWE-150 扩大了环境对象自动转义错误的覆盖范围。2
CWE-539 Django 中的 CSRF 或会话 Cookie 设置不安全。2
Ruby CWE-78 反引号的不安全使用。2
CWE-78 系统方法的使用不安全。2
Rust CWE-295 检测到未进行证书检查的潜在 CMS 消息解密。2
CWE-327 检测到可能使用了弱椭圆曲线加密。2
CWE-326 检测到潜在的弱 RSA 密钥长度。2

2024-09-04

常规更新：

  • 扫描现在可避免所有最小化文件。

  • System.Data.SQLite 的 .NET 数据流支持。
注：
  1. 新规则
  2. 新的自动修复规则
  3. 规则修复
语言 CWE 更改
.NET ASP.NET CWE-1188 ASP.NET 项目配置中启用了无 Cookie 会话状态。2
C# CWE-319 检测到开放式通信方案。2
CWE-328 检测到弱密码算法。2
CWE-327 检测到没有签名验证的 JWT 构建器。2
VB.NET CWE-1173 VB 代码中禁用了 HTTP 请求验证。2
CWE-328 VB 代码中使用了弱加密算法。2
Angular CWE-94 沙盒 VM 中有潜在代码注入漏洞。1
AngularJS CWE-477 找到弃用的调用：(ng-bind-html-unsafe).2
Apex CWE-943 SOQL 注入。2
CWE-943 SOSL 注入。2
CWE-328 选择了弱散列算法。2
CWE-79 脚本或样式跨站点脚本编制 (XSS)。2
ASP CWE-319 ASP 代码中检测到开放式通信方案。2
C/C++ CWE-367 临时文件名函数的潜在危险使用。已更正上下文并启用自动修复。3
CWE-78 检测到潜在的命令注入。扩大了覆盖范围。3
CWE-250 CreateFile 调用似乎违反了最小特权原则。2
CWE-250 CreateNamedPipe 缺少 FILE_FLAG_FIRST_PIPE_INSTANCE 标志。2
CWE-757 发现 (SSL/TLS) 协议的不安全使用。2
CWE-295 发现 Curl 配置的潜在危险使用（此类别中有七条不同的规则）。2
CWE-427 检测到最小特权原则注册表的潜在操控。2
CWE-611 启用了不安全的外部实体处理。2
ColdFusion CWE-524 cfCache 缓存安全页面。2
CWE-502 cfWddx 缺少 WDDX 验证。2
CWE-862 客户机未在 cfFunction 中验证。2
CWE-319 不安全的通信。2
CWE-307 多次提交验证。2
CWE-327 加密函数中使用了不安全算法。2
Dart CWE-522 已针对潜在敏感字段启用 AutoComplete。2
CWE-319 检测到与 HttpServer 的开放通信方案。2
CWE-319 检测到开放式套接字通信。2
CWE-319 检测到 URI 的开放式通信方案。2
CWE-79 Dart 代码中打开窗口的使用不安全。2
CWE-319 字符串中检测到开放式通信方案。2
CWE-79 发现不安全的内容安全策略关键字。2
Docker CWE-770 限制 CPU 以防止拒绝服务 (DoS) 攻击。2
CWE-770 限制失败时重新启动的次数，以防止拒绝服务 (DoS) 攻击。2
Go CWE-489 检测到 HTTP 的调试包 pprof。2
CWE-1004 Golang 代码包含不安全的 http.Cookie。2
CWE-319 Golang 代码中检测到开放式通信方案。2
Groovy CWE-319 Groovy 代码中检测到开放式通信方案。2
CWE-79 Groovy 源代码中检测到潜在的跨站点脚本编制漏洞，为所有实例添加了额外的自动修复程序。2
Java CWE-489 在 Web 安全中启用调试导致 Spring 中的数据泄露。2
CWE-1390 忽略 SAML 中的注释导致认证中断。2
CWE-548 Tomcat 配置中缺省 Servlet 的目录列表不安全。2
CWE-276 在 Java 中检测到不安全的文件许可权使用。2
CWE-489 Java 代码中检测到打印堆栈跟踪。2
CWE-489 Android 应用程序中的可调试标志设置为 true。2
CWE-1188 在 Android 代码中检测到不正确的共享首选项模式。2
JavaScript CWE-359 不安全的事件传输策略：已更正上下文并启用自动修复。3
CWE-79 在 jQuery.append 中检测到潜在的 XSS 漏洞。现在性能更快。3
CWE-79 覆盖 Mustache 转义方法有风险。2
CWE-319 不安全的事件传输策略。2
Kotlin CWE-319 Kotlin 代码中检测到开放式通信。2
NodeJS CWE-614 Cookie 缺少安全标志或标志设置为不安全的值。2
CWE-328 加密 createCipheriv 中使用了不安全的算法。2
CWE-295 用于禁用 node-curl 的 SSL 证书验证配置不安全。2
CWE-78 发现 Exec shell spawn。2
CWE-1004 缺少 HTTPOnly Cookie 属性，配置不安全。2
Objective-C CWE-319 Objective-C 代码中检测到开放式通信方案。2
PHP CWE-10041 不带 HttpOnly 标志的敏感 Cookie。2
CWE-6141 HTTPS 会话中不带 secure 属性的敏感 Cookie。2
CWE-791 检测到嵌入式 PHP 变量2
CWE-981 PHP 代码中检测到潜在的文件包含漏洞。2
CWE-6111 PHP 代码中检测到 XML 外部实体注入。2
CWE-78 PHP 命令执行可能使用用户提供的数据。扩大了覆盖范围。3
CWE-644 发现潜在的标头注入。扩大了覆盖范围。3
CWE-327 检测到不安全的算法使用。扩大了检查和覆盖范围。3
CWE-319 PHP Symfony 框架中检测到开放式通信。2
CWE-1004 setcookie 中的 HTTPOnly 标志缺少或不安全。2
CWE-319 检测到开放式通信方案。2
CWE-544 error_reporting 指令未设置为允许可能的最高级别的错误报告2
PL/SQL CWE-331 DBMS_RANDOM 的不安全使用。2
Python CWE-311 使用 http 的 URL。扩大了覆盖范围。3
CWE-311 TOCTTOU 争用条件临时文件。修复了覆盖范围并启用了自动修复。3
CWE-367 TOCTTOU 争用条件临时文件。2
CWE-319 使用 http 的 URL。2
CWE-78 Python OS 注入。2
CWE-319 不安全的 FTP 使用。2
CWE-78 Popen 命令注入。2
CWE-276 777 与 umask 结合使用。2
ReactNative CWE-319 检测到开放式通信。已更正上下文并启用自动修复。3
CWE-319 检测到开放式通信。2
CWE-295 检测到禁用 SSL 固定。2
RPG CWE-319 代码中检测到开放式通信。2
Ruby CWE-78 反引号正则表达式的不安全使用需要改进。扩大了覆盖范围。3
CWE-78 反引号的不安全使用。扩大了覆盖范围。3
CWE-425 Ruby 批量赋值。2
CWE-359 Ruby 信息泄露。2
Scala CWE-319 Scala 代码中检测到开放式通信方案。2
CWE-79 Scala 源代码中检测到通过 Cookie 访问实施的潜在客户机端脚本编制漏洞。2
密钥 CWE-1051 检测到硬编码 IP 地址。扩大了覆盖范围。3
CWE-798 检测到硬编码凭证。扩大了覆盖范围。3
Swift CWE-319 Swift 代码中检测到开放式通信方案。2
CWE-79 在 iOS UIWebView 中使用 loadRequest() 时可能存在跨站点脚本编制漏洞。2
Terraform CWE-359 检测到暴露用户数据机密的 AWS 实例。2
CWE-778 Azure 日志监视器配置文件应定义所有必需类别。2
CWE-732 在文件夹、项目或组织级别使用了缺省服务帐户。2
CWE-671 SQL Server 中未启用电子邮件服务和共同管理员。2
CWE-923 确保 Azure 存储帐户缺省网络访问设置为“拒绝”。2
CWE-923 确保 GCP 防火墙规则不允许不受限制的访问。2
CWE-732 Google Compute 实例可公开访问。2
CWE-732 Google 存储桶可公开访问。2
CWE-732 Amazon S3 存储桶的访问权限不安全。2
Visual Basic CWE-319 VB 代码中检测到开放式通信方案。2
Xamarin CWE-319 Xamarin 中检测到开放式通信。2

2024-08-06

语言 CWE 更改
常规 CWE-319 更好地处理所有语言的开放式通信规则，以减少无关的结果。
Angular CWE-312 本地存储会避免与排序方向相关的 setItem 调用。
ASP CWE-79 使用 Server.HTMLEncode 检查验证是否正确。
CSS

CWE-79

 进行了调整，以减少无关的结果。
Dart CWE-328 在呈现结果时更具选择性，避免更显著的无关结果。
CWE-319

进行了调整，以减少无关的结果。
Java 源代码扫描程序 CWE-918 在 RestTemplate().exchange 调用中查找 SSRF。
CWE-303 查找 NoOpPasswordEncoder.getInstance 危险调用。
CWE-89 查找 SQLi 的更多案例。
CWE-22 查找更多可能出现路径遍历问题的地方
CWE-798 在 HashMap.put 调用和 Setter 中查找硬编码凭证。
JavaScript CWE-200 在 window.postMessage 调用中添加了对危险目标来源的检查。
CWE-913 进行了修改，以减少无关的结果。
JQuery CWE-79 进行了修改，以减少无关的结果。
Objective-C CWE-798 进行了修改，以减少某些额外的无关结果。
PHP CWE-798 检查该值并确定该值是否确实是代表存储在代码中的可能明文密码的字符串文字。
Python CWE-319 更正了自动修复程序，以解决某些情况下的错误替换。
密钥扫描 CWE-798 避免最小化 JS 文件。
避免分析翻译文件以减少无关结果
TerraForm CWE-1220 对出口安全组 cidr_blocks 的新规则检查设置过于宽松。
TypeScript CWE-943 在 TypeScript 文件中查找 NoSQL MongoDB 注入。
查找 SQLi 的更多案例。
VueJS CWE-79 进行了调整，以减少在方法声明中发现时生成结果。