規則更新

ASoC 中的最近規則更新。

2026 年 7 月 20 日新增功能

  1. 新規則。
語言 CWE 說明
C# CWE-22 避免例如 delete、rename 和mkdir等雜訊檔案型樣。此類檔案往往會產生雜訊，且無法作為存在路徑遍訪漏洞的跡象。
CWE-94 偵測 RazorLight 範本編譯中的伺服器端範本注入 (SSTI) 漏洞。該規則會尋找是否有未經適當消毒或驗證的不受信任使用者輸入傳遞至 CompileTemplate 方法。1
CWE-352 偵測 ASP.NET Core 應用程式中缺少的 CSRF 防護。此規則會檢查控制器動作上是否存在 [ValidateAntiForgeryToken] 屬性，或是防僞服務的廣域配置。如果兩者皆不存在，此規則會將此動作標記為易受 CSRF 攻擊的潛在漏洞。1
CWE-918 偵測 HttpClient 使用情況中的偽造伺服器端要求 (SSRF) 模式。此規則會檢查是否有未經適當驗證或白名單過濾的不受信任使用者輸入，用於建構 HttpClient 要求的 URL。1
CWE-1275 檢查是否將 Cookie 設定為 SameSiteMode.None，而未附帶 Secure 旗標。此配置可能會導致偽造跨網站要求 (CSRF) 漏洞出現。1
IaC CWE-1328 避免將 Dockerfiles 中的變數標記為基本映像，因為如此會導致偵測不安全基本映像版本時產生誤報。
Java CWE-22 擴大數個 API 的涵蓋範圍，以解決路徑遍訪問題：
  • FileSystemUtils.deleteRecursively
  • Files.createDirectories
  • Files.move
  • Files.deleteIfExists
  • Files.write
  • Files.writeString
  • 新增 File
  • File.delete
  • File.mkdir
  • File.mkdirs
  • File.listFiles
  • File.renameTo
CWE-89 降低 Java 程式碼中 SQL 注入偵測的雜訊，重點聚焦於高風險模式和已知有漏洞的架構。
CWE-489 擴大 printStackTrace() 的涵蓋範圍，支援提供引數以重新導向輸出的情境。
CWE-502 偵測 Java 應用程式中使用 ObjectInputStream 的不安全解除序列化。此規則會檢查是否有未進行適當驗證或篩選的的不受信任資料傳遞至 ObjectInputStream。1
CWE-552 偵測在 Java 應用程序中使用 getRequestDispatcher 時的潛在安全問題。1
PHP CWE-22 從 PHP 的路徑遍訪偵測中移除 file_get_contents，因爲它會產生誤報。
CWE-397 移除 PHP 中擲回一般例外的偵測，因爲它會產生誤報。
PLSQL CWE-89 移除尋找「as external」的規則，因為它會產生誤報，並且在偵測 SQL 注入漏洞方面沒有顯著價值。
Python CWE-78 在 Flask 範本注入偵測中，考慮納入更多字串串連情境。
CWE-80 尋找可能導致 Python 應用程式中 XSS 漏洞的可疑格式字串，特別是與 HTML 元素和變數串連一起使用時。1
CWE-89 偵測 Python 應用程式中潛在的 SQL 注入漏洞，特別是尋找可能在 SQL 查詢中使用，且未經適當參數化或消毒的格式字串。1
CWE-215 偵測 Flask 應用程式中啟用 debug=True 的行為，這可能會暴露敏感資訊並導致安全漏洞。1
CWE-295 偵測在 requests.get 使用 verify=False 的行為，這可能會導致不安全的 SSL/TLS 連線。1
CWE-338 偵測在安全性敏感的操作中使用 random 模組的行為，這可能會導致可預測的輸出和漏洞。1
CWE-601 偵測將使用者提供的要求參數 (例如 request.args、request.form) 未經驗證便直接傳遞至 redirect() 呼叫的行為。這可能會讓攻擊者能夠建立一個 URL，將受害者重新導向至任意外部網站。1
CWE-918 偵測 Python 中不安全的要求程式庫使用行為
CWE-1336 在 Flask 範本注入偵測中，將附帶變數的字串串連納入考量。
機密 CWE-284 避免包含日期且非機密的 URL 型樣。之前這會在 yaml 檔案中產生誤報。
CWE-798
  • 降低 Python 機密偵測中的雜訊，專注於 Atlassian 機密中的高熵字串和已知的機密型樣。
  • 降低機密偵測中的雜訊。將會避免名稱中附有 password、agent 或 auth 且附有使用者的值，以及任何「鍵 == 值」的情況。這些可能都不是機密型樣，現在會視為潛在雜訊予以避免。
  • 在機密偵測中避免 TypeScript 檔案中的列舉，因爲這些通常並非敏感信息，可能會產生誤報。
  • 在機密檢測中避免使用一些有雜訊的關鍵字，例如 secret、key 和 token，因爲這些關鍵字可能會產生誤報。
  • 避免 yaml 檔案中的環境變數。
  • 新增將「pswd」視爲潛在機密變數名稱的檢查

2026 年 7 月 7 日新增功能

語言 CWE 說明
C# CWE-22 偵測 C# 中透過數個 API 的路徑遍訪的新規則
CWE-601 偵測 Redirect (重新導向) 的可疑使用行為的新規則
PHP CWE-98 移除尋找包含可疑型樣的 include 的規則。此規則產生雜訊的機率過高。
CWE-473 移除尋找內嵌 PHP 變數的規則。此規則產生雜訊的機率過高。
Java CWE-611 調整 XXE 規則，將涵蓋範圍擴大至更多 XML 剖析器
機密 CWE-798 降低數種語言和值的雜訊。

2026 年 7 月 1 日新增功能

語言 CWE 說明
所有語言 CWE-283 改進使用 AI 的偵測。
CWE-639
CWE-640
CWE-708
CWE-770
CWE-826
CWE-837
CWE-841

2026 年 6 月 18 日新增功能

語言 CWE 說明
CSS 改進 CSS 掃描器效能，以便處理極大的 HTML 檔案，且不會耗費過多時間。
Java CWE-22 擴大 java.nio.file.Path 和java.io.File API 的涵蓋範圍。
CWE-611 現在已可妥善將 XMLReaderFactory.createXMLReader() 和sxabuilder.setXMLReaderFactory 樣式的呼叫納入考量，以進行安全設定驗證。
移除 Java 時序攻擊規則，因爲該底層問題在 Java 中無法被利用，並且該規則之前曾在安全程式碼上產生誤報。
JavaScript CWE-521 加強偵測 JavaScript 中的物件文字值，如 JSON 物件。

2026 年 5 月 11 日新增功能

  1. 新增規則
語言 CWE 說明
Delphi CWE-120 檢查 StrCopy, StrCat, StrPCopy, lstrcpy, and lstrcat 的不安全使用情況。1
CWE-143 檢查格式字串使用中的不安全格式。1
CWE-295 檢查停用 SSL 憑證驗證的設定。1
CWE-33 檢查 RandSeed 的使用情況。1
CWE-367 透過文件檢查 TOCTOU (檢查時間\使用時間) 競爭條件。1
CWE-522 檢查加密密鑰是否為空白或空值。1
CWE-522 檢查資料庫連線字串中的硬編碼認證。1
CWE-539 檢查 Cookie 到期時間是否過長。1
CWE-693 檢查是否使用已淘汰的 X-XSS-Protection 標頭。1
CWE-693 檢查是否停用安全的編譯器指引。1
CWE-703 檢查不當的例外重新擲回。1
CWE-732 檢查新 Cookie 中是否有不安全的網域項目。1
CWE-732 檢查不安全的 Cookie 路徑項目。1
Java CWE-79 檢查 SpringBoot 控制器中，HTTP 回應是否包含未經消毒的使用者輸入。1
CWE-208 檢查在處理潛在敏感字串時，是否包含時序攻擊。1
CWE-215 檢查 SpringBoot配置 是否會暴露敏感資訊。1
CWE-338 強化低強度亂數產生器檢查規則尋找的 API
CWE-502 檢查 XStream 解除序列化的危險用法。1
CWE-611 強化規則使其也可檢查危險的 XMLInputFactory 配置。
CWE-614 檢查新 Cookie 上是否缺少安全旗標。1
CWE-749 檢查 Spring 應用程式中的不安全 RequestMapping 註釋。1
CWE-76 檢查單向雜湊演算法中是否存在可預期冗餘字串。1
CWE-922 檢查是否在 HTTP 階段作業中儲存敏感資料。1
CWE-1275 檢查 Cookie 中是否有安全的 SameSite 設定。1
HTML CWE-798 新增針對具有硬編碼值的硬編碼輸入元素類型密碼欄位的檢查。
註：
此檢查已新增至原始碼掃描器和混合式掃描器。
機密 CWE-798 新增針對 JWT 硬編碼認證的檢查。
CWE-798 新增針對透過 Base64.encode 呼叫的硬編碼認證的檢查。

2026-04-16

  1. 新規則。
語言 CWE 說明
Java CWE-502 新增針對不安全解除序列化的額外檢查。1
CWE-532 新增針對敏感日誌記錄缺失的附加檢查。1
CWE-1004 新增 Cookie 中缺少 HttpOnly 旗標的檢查。1
機密 CWE-798 檢查硬編碼認證時最佳化機密效能。

2026-04-07

  1. 新增涵蓋範圍。
語言 CWE 說明
Delphi，包括 Object Pascal1 CWE-22 不當限制受限目錄的路徑名稱
CWE-77 不當中性化在指令中使用的特殊元素
CWE-78 不當中性化在 OS 指令中使用的特殊元素
CWE-79 不當中性化產生網頁期間的輸入（跨網站 Scripting）
CWE-89 不當中性化在 SQL 指令中使用的特殊元素
CWE-94 程式碼生成控制不當（「程式碼注入」）
CWE-99 資源 ID 控制不當（「資源注入」）
CWE-119 在記憶體緩衝區的界線內不當限制運作
CWE-120 緩衝區複製時未檢查輸入的大小。
CWE-200 資訊暴露
CWE-266 專用權指派不正確
CWE-295 不適當的憑證驗證
CWE-312 以明碼儲存的機密性資訊
CWE-327 使用中斷或風險加密演算法
CWE-328 使用低強度雜湊演算法
CWE-330 使用隨機程度不足的亂數
CWE-338 使用加密低強度虛擬亂數產生器 (PRNG)
CWE-345 資料真實性驗證不足
CWE-434 未限定上傳危險類型的檔案
CWE-497 將系統資料暴露至未獲授權的控制範圍
CWE-502 不受信任資料的解除序列化
CWE-614 HTTPS 階段作業中的機密 Cookie 缺少「Secure」屬性
CWE-643 不當中性化 XPath 運算式中的資料（「XPath 注入」）
CWE-760 使用附帶可預期冗餘字串的單向雜湊
CWE-780 使用未附帶 OAEP 的 RSA 演算法
CWE-787 超出範圍寫入
CWE-798 使用硬編碼認證
CWE-942 對不受信任網域配置過於寬鬆的跨網域原則
CWE-1004 機密 Cookie 缺失「HttpOnly」旗標
MuleSoft1 CWE-22 不當限制受限目錄的路徑名稱（「路徑遍訪」）
CWE-78 不當中性化作業系統指令中使用的特殊元素（「作業系統指令注入」）
CWE-79 不當中性化產生網頁期間的輸入（「跨網站 Scripting」）
CWE-89 不當中性化 SQL 指令中使用的特殊元素（「SQL 注入」）
CWE-94 程式碼生成控制不當（「程式碼注入」）
CWE-306 遺漏鑑別重要功能
CWE-319 機密性資訊的明碼傳輸
CWE-326 不當加密強度
CWE-338 使用加密低強度虛擬亂數產生器 (PRNG)
CWE-359 將隱私個人資訊洩露給未獲授權的動作者
CWE-497 將敏感系統資訊暴露至未獲授權的控制範圍
CWE-532 將機密性資訊插入至日誌檔
CWE-611 XML 外部實體參照的不當限制
CWE-942 對不受信任網域配置過於寬鬆的跨網域安全原則
CWE-1287 不當的特定輸入類型驗證
PHP CWE-79 不當中性化產生網頁期間的輸入（「跨網站 Scripting」）
機密 CWE-798 使用硬編碼認證
將逾時設定為一秒以加速掃描。
加入 .properties 檔案以調查硬編碼機密。

2026-02-10

  1. 新規則。
語言 CWE 說明
C# CWE-215 檢查日誌記錄呼叫是否含有包含敏感資訊的可疑變數。1
CWE-397 尋找潛在不安全的通用例外擲回，例如 throw new Exception 或 throw new SystemException。
Dart CWE-943 尋找 NoSQL 注入。1
CWE-338 尋找不安全的偽隨機數字。1
CWE-116 尋找 File.writeAs 樣式呼叫。1
CWE-79 檢視 Response.ok 和類似呼叫的潛在不安全使用情況。1
CWE-348 尋找可能不安全的目錄列舉。1
CWE-78 檢查 Process.run 是否有不安全的使用。1
CWE-89 涵蓋 query/execute/prepare 樣式呼叫的 SQL 注入潛在風險。1
Java CWE-215 檢查日誌記錄呼叫是否含有包含敏感資訊的可疑變數。1
CWE-397 尋找可能不安全的通用例外擲回，例如 throws Exception 或 throws Throwable。
CWE-396 尋找通用的 catch 區塊，例如 catch(Exception e) 或 catch (Throwable t)。1
JavaScript CWE-397 尋找可能不安全的通用例外擲回，例如 throw "message"。
CWE-80 修正 @if 模式被誤判為非 handlebars 範本的問題。
Perl CWE-732 IO::File::open 呼叫的涵蓋範圍更加完整。
PHP CWE-397 尋找可能不安全的通用例外擲回，例如 throw Error("foo")。
Python CWE-397 尋找可能不安全的通用例外擲回，例如 raise BaseException。
機密 CWE-798 為硬式編碼的 privateKey 新增機密檢查。

此外，CWE-319 也已全面更新。我們已移除在程式碼中尋找不安全 http 樣式字串的規則，因為這些規則產生過多雜訊。我們仍會在適當情況下，於混合式掃描器中尋找特定的開放式通訊使用例項，例如 JavaScript 中的 fetch 呼叫。

這項對 CWE-319 的變更會影響下列語言：
  • ASP
  • Golang
  • Groovy
  • Kotlin
  • Objective-C
  • PHP
  • Scala
  • Swift
  • C#
  • Dart
  • RPG
  • VB
  • Xamarin

2025-12-18

語言 CWE 說明
Anodid Java CWE-319 新涵蓋範圍：檢查 AndroidManifest.xml 檔案中的 usesCleartextTraffic 或 cleartextTrafficPermitted 是否設為 true，這是不安全的做法。
C# CWE-89 新涵蓋範圍：新增 SQL 注入檢查，以納入 += 模式以及部分預存程序模式。
CWE-89 新涵蓋範圍：更嚴格的檢查，以確認目前處於查詢語句中，從而減少雜訊。
CWE-1004 減少干擾：檢查 http=true，若已設定則略過此發現。
Dart：Flutter

（新架構支援，新涵蓋範圍）		 CWE-35 檢查 MethodChannel 是否使用可能由使用者控制的路徑引數。
CWE-78 在 MethodChannel 呼叫中尋找潛在的 OS 注入。
CWE-80 檢查 WebView 或 InAppWebView，查看 javascript 是否未受到限制，這是危險做法。
CWE-89 支援 sqflite flutter 特定的 DB API
CWE-117 揭露未被除錯控制包覆的 print 及類似陳述式。這些呼叫通常不應出現在除錯分支以外的生產程式碼中。
CWE-312 檢查 FlutterSecureStorage 是否儲存了疑似私人資訊，例如密碼或其他階段作業資訊。
CWE-598 檢查 Navigator 物件是否有可能不安全的查詢參數用途。
CWE-918 尋找 MethodChannel.invokeMethod 中由使用者控制的 URL，以防範 SSRF 攻擊。
JavaScript：Angular CWE-80 減少干擾：檢查以確認目前不在 @if 範本中
機密 CWE-798 新涵蓋範圍：新增對 Tuleap 的支援。
CWE-798 新涵蓋範圍：檢查 equalsIgnoreCase 呼叫中是否有硬式編碼密碼。
CWE-798 減少干擾：避免為機密掃描器中已註解的 C\C++ 程式碼新增發現。
Swift CWE-1188 新涵蓋範圍：檢查 info.plist 檔案中的 UIFileSharingEnabled 或 LSSupportsOpeningDocumentsInPlace 是否設為 true，這是不安全的做法。

2025-11-06

  1. 新規則。
語言 CWE 說明
NodeJS CWE-78 額外檢查不安全的 child_process.exec 呼叫。
Perl CWE-89 減少 SQL 注入規則中的雜訊，該規則先前會對參數化陳述式產生誤報。
CWE-732 降低以 STDIN 作為輸入的 open 呼叫所產生的雜訊。
PHP CWE-213 新增對 PHP 程式碼中殘留的 phpInfo 呼叫的檢查。1
CWE-89 新增以 sqlite_escape_string 驗證並排除發現的檢查。
TypeScript CWE-94 針對包含可能由使用者控制之變數的 eval，新增額外檢查。

2025-10-07

  1. 新規則。
語言 CWE 說明
C# CWE-89 降低 SQLi 偵測中的雜訊。
Java CWE-209 檢查程式碼中 System.out 與 System.err 的使用（為除錯呼叫，應從生產程式碼中移除）。1
機密 CWE-1051 減少干擾：硬編碼 IP 位址檢查現已避免將版本號誤判為 IP 位址
CWE-798 減少在 Atlassian 機密偵測中的干擾。
CWE-798 減少在機密金鑰\值配對中的干擾。
CWE-798 新增檢查範圍，以偵測字串中包含 1234 的硬編碼密碼。

2025-09-10

  1. 新規則。
語言 CWE 說明
CSS CWE-79 降低在 .css 檔案中硬編碼變數檢查所發現的雜訊。
執行 CWE-79 降低 fprintf 檢查時產生的雜訊。
IaC Docker CWE-22 檢查是否在 DockerFile 中新增了敏感路徑。1
IaC Kubernetes CWE-209 在 .yaml 配置檔中新增檢查殘留堆疊追蹤程式碼的機制。1
Java CWE-78 搜尋 Runtime.getRunTime() 的內聯呼叫。
CWE-757 擴充我們檢查為不安全或破損項目的清單。
CWE-916 檢查 PBEKeySpec 與 PBEParameterSpec 是否使用較弱的迭代次數。1
CWE-1188 使用大型或由使用者控制的值的 StringBuilder 建構函式阻斷服務檢查。1
PHP CWE-89 新增針對 sqlite_escape_string 的驗證器檢查。
機密 CWE-798 將一些雜訊模式作為發現項目移除。
CWE-798 在 web.config 檔案中搜尋硬編碼的認證資訊。
CWE-1051 檢查硬編碼的 IP 位址，並調整以避免誤判看似 IP 位址但實際上不是的字串。

2025-07-14

  1. 新規則。
語言 CWE 說明
Python CWE-78 尋找不安全的 os.system 使用方式。1
CWE-79 改善 Python Django 的規則清晰度。
機密 CWE-1051 移除寫在程式中的 IP 位址檢查的雜訊模式。
CWE-798 移除寫在程式中憑證的雜訊模式：
  • 避免 Rust 程式碼中出現雜訊模式。
  • 在「密碼 - 憑證 - 金鑰：值」對規則中新增檢查，以消除 Python 檔案中無引號的發現項目。
  • 新增檢查以過濾雜訊密碼，例如 1234、wrongpassword、testpassword、noreply。
  • 調整其他程式碼片段，以消除特定發現項目，例如包含 1234 的密碼。
  • 目前的「金鑰：值」對規則會尋找環境定義，直到該行結束。因此，請移除含有 , 或 " 的行結尾。

2025-06-13

新增 Java 標記：
  • 68 份新資源
  • 10 個新接收槽
語言 CWE 說明
機密 將一些雜訊模式作為發現項目移除。
Java 原始碼 CWE-111 新增 DllImport 危險用法的檢查。
CWE-918 新增使用潛在使用者控制資料的 URL openStream 檢查。

2025-05-07

此版本中的所有規則更新皆為新增規則。

語言 CWE 說明
C# 原始碼掃描器 CWE-94 檢查是否有 CSharpScript.EvaluateAsync。
CWE-532 檢查是否記載個人識別資訊 (PII)，例如使用者名稱或密碼。
CWE-111 檢查 DllImport 的危險用法。
Java 原始碼掃描器 CWE-532 檢查是否記載個人識別資訊 (PII)，例如使用者名稱或密碼。
CWE-102 檢查 Struts 驗證 XML 檔案中是否有重複的表單名稱。
CWE-104 檢查擴充 ActionForm 的類別是否未經驗證。
PHP CWE-111 檢查 FFI::cdef 的使用是否包含不安全的呼叫。
Python CWE-111 檢查 ctypes.DLL 的使用是否未對引數使用完整路徑。

2025-04-01

  1. 新增規則
語言 CWE 說明
所有語言 CWE-798 改善減少干擾功能
C# CWE-328 自動修正功能會套用較新的函數呼叫
CWE-1333 Regex 物件會套用逾時檢查1
CWE-89 透過 String.Append 建構查詢，擷取新的 SQLi
更新 Microsoft.CodeAnalysis.CSharp.Scripting 及 Microsoft.AspNetCore.Mvc.ViewFeatures 的安全資訊
ColdFusion CWE-328 調整檢查以改善效能
HTML CWE-319 避免 URL 中出現 localhost 樣式的干擾
IaC CWE-770 兩個新的自動修正
CWE-311 額外檢查 Amazon 負載平衡器中的 TLS 設定適當
Java CWE-479 更新自動修正
JavaScript CWE-598 在 JavaScript 檔案中尋找 URLSearchParams 缺陷1
Python CWE-502 在 Java 中尋找不安全的反映1

2024-12-11

語言 CWE 說明
C# CWE-78 針對 OS 注入，已進行調整，以減少有雜訊的發現項目。
IaC CWE-798 針對 TypeScript 程式碼建構，已進行調整，以減少有雜訊的發現項目。
CWE-1051 針對 HTML 檔案中的 IP 模式，已進行調整，以減少有雜訊的發現項目。
CWE-1328 針對 Docker 映像檔參照，已進行調整，以減少有雜訊的發現項目。
HTML CWE-79 副檔名的新規則：
  • htm
  • html
  • rhtml
  • xhtml
  • cshtml
  • vbhtml
CWE-319
CWE-524
CWE-525
CWE-598
CWE-1021
CWE-1022
JavaScript CWE-209 已進行調整，以減少有雜訊的發現項目。
CWE-359 已進行調整，以減少有雜訊的發現項目。
CWE-1022 針對 window.open 發現項目，已進行調整，以減少有雜訊的發現項目。
機密 CWE-798 尋找在 URL 查詢字串內找到之寫在程式中的密碼。
CWE-284 已進行調整，以減少 Azure 共用存取簽章記號外洩發現項目中有雜訊的發現項目。
Visual Basic CWE-78 已進行調整，以減少有雜訊的發現項目。
CWE-328 已進行調整，以減少有雜訊的發現項目。

2024-12-03

註：
  1. 新增規則
  2. 已減少規則中的雜訊
語言 CWE 說明
ASP.NET CWE-1188 在專案配置中啟用了無 Cookie 階段作業狀態。2
CWE-79 程式碼中的行內表示式有潛在 XSS。2
C# CWE-601 變數中有內含潛在使用者控制資料的要求重新導向。2
CWE-185 正規表示式注入。2
IaC Terraform CWE-410 負載平衡器配置不安全。1
Java CWE-337 Java 程式碼中有 SecureRandom 執行個體的可預測種子。2
CWE-918 RestTemplate().exchange 中有偽造伺服器端要求。2
CWE-185 Java 程式碼中有正規表示式注入。2.
CWE-244 密碼已儲存在 Java 字串物件中。2
JavaScript CWE-79 document.referrer 的使用方式不安全。2
PHP CWE-79 PHP 內使用者控制的資料已轉換為 HTML。2
Python Django CWE-79
  • 現在收集 HTML 檔案以針對 Python 進行檢閱
  • 已新增新規則。
CWE-89
CWE-200
CWE-201
CWE-212
CWE-352
CWE-497
CWE-522
CWE-523
CWE-795
CWE-918
CWE-1021
CWE-1188
CWE-1295
機密 CWE-798 寫在程式中的基本鑑別認證。1
VB.NET CWE-502 可能發生解除序列化。2

2024 年 9 月 17 日

註：
  1. 新增規則
  2. 新的或擴充的自動修正規則
語言 CWE 變更
基礎架構即代碼 (IaC) CWE-250 在 Dockerfile 中偵測到使用不安全的 apt-get 指令。1
CWE-1328 在 Dockerfile 中偵測到使用不安全的基本映像檔版本。1
CWE-276 預設安全設定檔已停用。2
JavaScript CWE-1022 洩漏的轉介資訊。2
Kotlin CWE-922 在 Kotlin 程式碼中找到不當的資料儲存體存取問題。2
PHP CWE-98 allow_url_fopen 指引已啟用。2
CWE-98 allow_url_include 指引已啟用。2
CWE-94 cgi.force_redirect 指引已停用。2
CWE-614 HTTPS 階段作業中的機密 Cookie 缺少 Secure 屬性。2
Python CWE-732 在 Django 設定中使用不安全的 ALLOWED_HOSTS。1
CWE-539 Django 中不安全的 CSRF 或階段作業 Cookie 設定。1
CWE-1021 透過 X_FRAME_OPTIONS 進行潛在的 ClickjackingvAttack。1
CWE-79 在 Django 範本中使用 safe 或 safeseq 過濾器可能造成潛在的 XSS 漏洞。1
CWE-79 Django HttpResponse 中的潛在 XSS 漏洞。1
CWE-150 擴大環境物件的涵蓋範圍會自動逸出 false。2
CWE-539 Django 中不安全的 CSRF 或階段作業 Cookie 設定。2
Ruby CWE-78 反引號的使用方式不安全。2
CWE-78 不安全使用系統方法。2
鐵鏽色 CWE-295 偵測到 CMS 訊息可能解密但未進行憑證檢查。2
CWE-327 偵測到可能使用低強度的橢圓曲線 (Elliptic Curve) 加密。2
CWE-326 偵測到可能使用低強度的 RSA 金鑰長度。2

2024-09-04

一般更新：

  • 立即掃描會避免所有壓縮的檔案。

  • .NET 資料流程支援 System.Data.SQLite。
註：
  1. 新增規則
  2. 新自動修正規則
  3. 規則修正
語言 CWE 變更
.NET ASP.NET CWE-1188 在 ASP.NET 專案配置中啟用了無 Cookie 階段作業狀態。2
C# CWE-319 偵測到開放通訊架構。2
CWE-328 偵測到低強度密碼演算法。2
CWE-327 偵測到未使用簽章驗證的 JWT Builder。2
VB.NET CWE-1173 在 VB 程式碼中停用了 HTTP 要求驗證。2
CWE-328 在 VB 程式碼中使用了低強度密碼演算法。2
Angular CWE-94 沙箱 VM 中有潛在程式碼注入漏洞。1
AngularJS CWE-477 找到已淘汰的呼叫：(ng-bind-html-unsafe)。2
Apex CWE-943 SOQL 注入。2
CWE-943 SOSL 注入。2
CWE-328 選擇了低強度雜湊演算法。2
CWE-79 指令碼或樣式跨網站指令碼攻擊 (XSS)。2
ASP CWE-319 在 ASP 程式碼中偵測到開放通訊架構。2
C/C++ CWE-367 使用的暫存檔命名函式可能有危險。已更正內容並啟用自動修正。3
CWE-78 偵測到潛在指令注入。已擴大涵蓋範圍。3
CWE-250 CreateFile 呼叫似乎違反最低專用權原則。2
CWE-250 CreateNamedPipe 缺少 FILE_FLAG_FIRST_PIPE_INSTANCE 旗標。2
CWE-757 發現使用了不安全的 (SSL/TLS) 通訊協定。2
CWE-295 發現使用的 Curl 配置可能有危險（此類配置中使用了七個不同規則）。2
CWE-427 偵測到可能的最低專用權登錄操作原則。2
CWE-611 啟用了不安全的外部實體處理。2
ColdFusion CWE-524 cfCache 快取安全頁面。2
CWE-502 cfWddx 缺少 WDDX 驗證。2
CWE-862 用戶端未在 cfFunction 中驗證。2
CWE-319 不安全通訊。2
CWE-307 多重提交驗證。2
CWE-327 加密函式中使用了不安全的演算法。2
Dart CWE-522 為可能屬於機密的欄位開啟了 AutoComplete。2
CWE-319 HttpServer 偵測到開放通訊架構。2
CWE-319 偵測到開放 Socket 通訊。2
CWE-319 偵測到含有 URI 的開放通訊架構。2
CWE-79 不安全地使用了以 Dart 程式碼開啟的視窗。2
CWE-319 在字串中偵測到開放通訊架構。2
CWE-79 找到不安全的內容安全原則關鍵字。2
Docker CWE-770 限制 CPU 以防止阻斷服務 (DoS) 攻擊。2
CWE-770 限制失敗時重新啟動的次數，以防止阻斷服務 (DoS) 攻擊。2
Go CWE-489 偵測到用於 HTTP 的除錯套件 pprof。2
CWE-1004 Golang 程式碼含有不安全的 http.Cookie。2
CWE-319 在 Golang 程式碼中偵測到開放通訊架構。2
Groovy CWE-319 在 Groovy 程式碼中偵測到開放通訊架構。2
CWE-79 在 Groovy 原始碼中偵測到潛在的跨網站指令碼攻擊漏洞，已為所有執行個體新增額外的自動修正功能。2
Java CWE-489 在 Web 安全機制中啟用除錯功能，導致資料顯示在 Spring 中。2
CWE-1390 忽略 SAML 中的註解，導致鑑別中斷。2
CWE-548 Tomcat 配置中預設 servlet 提供的目錄清單不安全。2
CWE-276 在 Java 中偵測到不安全的檔案許可權使用情況。2
CWE-489 在 Java 程式碼中偵測到列印堆疊追蹤。2
CWE-489 Android 應用程式中的可除錯旗標設為 True。2
CWE-1188 在 Android 程式碼中偵測到不當的共用喜好設定模式。2
JavaScript CWE-359 不安全的事件傳輸原則：已更正內容，並啟用自動修正。3
CWE-79 在 jQuery.append 中偵測到潛在的 XSS 漏洞。效能現在更為快速。3
CWE-79 覆寫 Mustache 跳出方法是危險的做法。2
CWE-319 不安全的事件傳輸原則。2
Kotlin CWE-319 在 Kotlin 程式碼中偵測到開放通訊。2
NodeJS CWE-614 Cookie 缺少安全旗標，或是將旗標設為不安全值。2
CWE-328 在密碼編譯 createCipheriv 中使用了不安全的演算法。2
CWE-295 停用 Node-curl 的 SSL 憑證驗證配置不安全。2
CWE-78 發現了 Exec 殼層產生。2
CWE-1004 不安全的配置：缺少 HTTPOnly Cookie 屬性。2
Objective-C CWE-319 在 Objective-C 程式碼中偵測到開放通訊架構。2
PHP CWE-10041 機密 Cookie 缺少 HttpOnly 旗標。2
CWE-6141 HTTPS 階段作業中的機密 Cookie 缺少 secure 屬性。2
CWE-791 偵測到內嵌的 PHP 變數2
CWE-981 在 PHP 程式碼中偵測到潛在的檔案併入漏洞。2
CWE-6111 在 PHP 程式碼中偵測到 XML 外部實體注入。2
CWE-78 PHP 指令執行可能使用了使用者提供的資料。已擴大涵蓋範圍。3
CWE-644 發現潛在的標頭注入。已擴大涵蓋範圍。3
CWE-327 偵測到使用不安全的演算法。已擴大檢查與涵蓋範圍。3
CWE-319 在 PHP Symfony 架構中偵測到開放通訊。2
CWE-1004 setcookie 中缺少 HTTPOnly 旗標或旗標不安全。2
CWE-319 偵測到開放通訊架構。2
CWE-544 error_reporting 指引未設為允許可能的最高層次錯誤報告2
PL/SQL CWE-331 DBMS_RANDOM 的使用方式不安全。2
Python CWE-311 URL 使用了 http。已擴大涵蓋範圍。3
CWE-311 TOCTTOU 競爭條件暫存檔。已修正掃描涵蓋範圍，並啟用自動修正。3
CWE-367 TOCTTOU 競爭條件暫存檔。2
CWE-319 URL 使用了http。2
CWE-78 Python OS 注入。2
CWE-319 不安全的 FTP 用法。2
CWE-78 Popen 指令注入。2
CWE-276 使用 777 搭配 umask。2
ReactNative CWE-319 偵測到開放通訊。已更正內容並啟用自動修正。3
CWE-319 偵測到開放通訊。2
CWE-295 偵測到 SSL Pinning 停用動作。2
RPG CWE-319 在程式碼中偵測到開放通訊。2
Ruby CWE-78 反引號的使用方式不安全，規則運算式需要改進。已擴大涵蓋範圍。3
CWE-78 反引號的使用方式不安全。已擴大涵蓋範圍。3
CWE-425 Ruby 大量指派。2
CWE-359 Ruby 資訊揭露。2
Scala CWE-319 在 Scala 程式碼中偵測到開放通訊架構。2
CWE-79 在 Scala 原始碼中偵測到透過 Cookie 存取的潛在用戶端指令碼攻擊漏洞。2
機密 CWE-1051 偵測到寫在程式中的 IP 位址。已擴大涵蓋範圍。3
CWE-798 偵測到寫在程式中的認證。已擴大涵蓋範圍。3
Swift CWE-319 在 Swift 程式碼中偵測到開放通訊架構。2
CWE-79 在 iOS UIWebView 中使用 loadRequest() 時偵測到潛在的跨網站指令碼攻擊漏洞。2
Terraform CWE-359 偵測到 AWS 執行個體揭露使用者資料機密。2
CWE-778 Azure 日誌監視設定檔應定義所有必要類別。2
CWE-732 預設服務帳戶用於資料夾、專案或組織層級。2
CWE-671 SQL 伺服器中未啟用電子郵件服務和共同管理員。2
CWE-923 確認 Azure 儲存體帳戶的預設網路存取已設為拒絕。2
CWE-923 確認 GCP 防火牆規則不允許未限制的存取。2
CWE-732 Google Compute 執行個體可公開存取。2
CWE-732 Google Storage 儲存區可公開存取。2
CWE-732 Amazon S3 儲存區的存取權不安全。2
Visual Basic CWE-319 在 VB 程式碼中偵測到開放通訊架構。2
Xamarin CWE-319 在 Xamarin 中偵測到開放通訊。2

2024-08-06

語言 CWE 變更
一般 CWE-319 更妥善處理所有語言的開放通訊規則，已減少有雜訊的發現項目。
Angular CWE-312 本端儲存空間可避免與排序方向有關的 setItem 呼叫。
ASP CWE-79 使用 Server.HTMLEncode 檢查驗證是否正確。
CSS

CWE-79

 已進行調整，以減少有雜訊的發現項目。
Dart CWE-328 在呈現發現項目時更具選擇性，並避免較明顯的雜訊發現項目。
CWE-319

已進行調整，以減少有雜訊的發現項目。
Java 原始碼掃描器 CWE-918 在 RestTemplate().exchange 呼叫中尋找 SSRF。
CWE-303 尋找 NoOpPasswordEncoder.getInstance 危險呼叫。
CWE-89 尋找 SQLi 的其他案例。
CWE-22 在更多地方尋找可能的路徑遍訪問題
CWE-798 在 HashMap.put 呼叫和 setter 中尋找寫在程式中的憑證。
JavaScript CWE-200 已在 window.postMessage 呼叫中新增危險目標來源檢查功能。
CWE-913 已進行修改，以減少有雜訊的發現項目。
JQuery CWE-79 已進行修改，以減少有雜訊的發現項目。
Objective-C CWE-798 已進行修改，以減少增加有雜訊的發現項目。
PHP CWE-798 檢查值，並確定值是否真的是代表以純文字格式儲存在程式碼中之可能密碼的字串文字。
Python CWE-319 已更正自動修正功能，以解決某些情況下的錯誤取代問題。
密碼掃描 CWE-798 避免壓縮的 JS 檔案。
避免分析轉換檔以減少雜訊
TerraForm CWE-1220 輸出流量安全群組 cidr_blocks 新增的規則檢查功能設為「非強制」。
TypeScript CWE-943 在 TypeScript 檔案中尋找 NoSQL MongoDB 注入。
尋找 SQLi 的其他案例。
VueJS CWE-79 已進行調整，減少已在方法宣告中找到發現項目的情況下產生發現項目。