Mises à jour des règles

Mises à jour des règles dans les AppScan® Source versions 10.12.0

  1. Nouvelles règles
Langue CWE Description
Delphi, including Object Pascal1 CWE-22 Limitation incorrecte d'un nom de chemin à un répertoire restreint
CWE-77 Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande
CWE-78 Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande du système d'exploitation
CWE-79 Neutralisation incorrecte de l'entrée lors de la génération de pages Web (cross-site scripting)
CWE-89 Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande SQL
CWE-94 Contrôle incorrect de la génération de code ('injection de code')
CWE-99 Contrôle incorrect des identificateurs de ressources ('injection de ressources')
CWE-119 Restriction incorrecte des opérations dans les limites d'un tampon mémoire
CWE-120 Copie de tampon sans vérification de la taille de l'entrée
CWE-200 Exposition d'informations
CWE-266 Attribution incorrecte de privilèges
CWE-295 Validation incorrecte du certificat
CWE-312 Stockage en texte clair d'informations sensibles
CWE-327 Utilisation d'un algorithme cryptographique défaillant ou risqué
CWE-328 Utilisation d'un hachage faible
CWE-330 Utilisation de valeurs insuffisamment aléatoires
CWE-338 Utilisation d'un générateur de nombres pseudo-aléatoires (PRNG) cryptographiquement faible
CWE-345 Vérification insuffisante de l'authenticité des données
CWE-434 Téléversement sans restriction de fichier de type dangereux
CWE-497 Exposition de données système à une sphère de contrôle non autorisée
CWE-502 Désérialisation de données non fiables.
CWE-614 Cookie sensible dans une session HTTPS sans attribut 'Secure'
CWE-643 Neutralisation incorrecte des données dans les expressions XPath ('injection Xpath')
CWE-760 Utilisation d'un hachage unidirectionnel avec un sel prévisible
CWE-780 Utilisation de l'algorithme RSA sans OAEP
CWE-787 Écriture hors limites
CWE-798 Utilisation d'informations d'identification codées en dur
CWE-942 Politique interdomaine permissive avec des domaines non fiables
CWE-1004 Cookie sensible sans l'indicateur 'HttpOnly'
CWE-120 Vérifier l'utilisation non sécurisée de StrCopy, StrCat, StrPCopy, lstrcpy et lstrcat. 1
CWE-143 Vérifier les formats non sécurisés pour l'utilisation de chaînes de format. 1
CWE-295 Vérifier les paramètres désactivant la validation des certificats SSL. 1
CWE-33 Vérifier les utilisations de RandSeed. 1
CWE-367 Vérifier les conditions de concurrence TOCTOU (Time Of Check\Time Of Use) avec les fichiers. 1
CWE-522 Vérifier la présence d'une clé de chiffrement vide ou nulle. 1
CWE-522 Vérifier la présence d'informations d'identification codées en dur dans les chaînes de connexion à la base de données. 1
CWE-539 Vérifier les durées d'expiration de cookies très longues. 1
CWE-693 Vérification de l'utilisation de l'en-tête obsolète X-XSS-Protection. 1
CWE-693 Vérification de la désactivation des directives de compilateur sécurisées. 1
CWE-703 Vérification des relances d'exceptions incorrectes. 1
CWE-732 Vérification des entrées de domaine non sécurisées dans les nouveaux cookies. 1
CWE-732 Vérification des entrées de chemin de cookie non sécurisées. 1
HTML CWE-798 Ajout d'une vérification des champs d'élément input de type mot de passe codés en dur avec une valeur codée en dur.
Note: Ajouté à la fois au scanneur de code source et au scanneur hybride.
Java CWE-502 Ajout de vérifications supplémentaires pour la désérialisation non sécurisée. 1
CWE-532 Ajout de vérifications supplémentaires pour les failles de journalisation de données sensibles.1
CWE-1004 Nouvelle vérification de l'absence de l'indicateur HttpOnly sur les cookies ajoutée.1
CWE-79 Vérification de la réponse HTTP pour les entrées utilisateur non assainies dans les contrôleurs SpringBoot. 1
CWE-208 Vérification des attaques temporelles avec des chaînes potentiellement sensibles. 1
CWE-215 Vérification de la configuration SpringBoot pour l'exposition d'informations sensibles. 1
CWE-338 Amélioration des API recherchées par la règle de vérification des générateurs aléatoires faibles
CWE-502 Vérification des utilisations dangereuses de la désérialisation XStream. 1
CWE-611 Règle améliorée pour vérifier également les configurations dangereuses de XMLInputFactory.
CWE-614 Vérification de l'absence de l'indicateur secure sur les nouveaux cookies. 1
CWE-749 Vérification des annotations RequestMapping non sécurisées dans les applications Spring. 1
CWE-76 Vérification des sels prévisibles dans les algorithmes de hachage unidirectionnels. 1
CWE-922 Vérification du stockage de données sensibles dans les sessions HTTP. 1
CWE-1275 Vérification d'un paramètre SameSite sécurisé dans les cookies. 1
MuleSoft1 CWE-22 Limitation incorrecte d'un nom de chemin vers un répertoire restreint ('traversée de chemin')
CWE-78 Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande du système d'exploitation ('injection de commande OS')
CWE-79 Neutralisation incorrecte de l'entrée lors de la génération de pages Web ('cross-site scripting')
CWE-89 Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande SQL ('injection SQL')
CWE-94 Contrôle incorrect de la génération de code ('injection de code')
CWE-306 Authentification manquante pour une fonction critique
CWE-319 Transmission en clair d'informations sensibles
CWE-326 Force de chiffrement inadéquate
CWE-338 Utilisation d'un générateur de nombres pseudo-aléatoires (PRNG) cryptographiquement faible
CWE-359 Exposition d'informations personnelles privées à un acteur non autorisé
CWE-497 Exposition d'informations système sensibles à une sphère de contrôle non autorisée
CWE-532 Insertion d'informations sensibles dans un fichier journal
CWE-611 Restriction incorrecte de référence d'entité externe XML
CWE-942 Politique de sécurité inter-domaines permissive avec des domaines non fiables
CWE-1287 Validation incorrecte du type d'entrée spécifié
PHP CWE-79 Neutralisation incorrecte de l'entrée pendant la génération de page Web (« scriptage intersite »)
Secrets CWE-798 Utilisation de données d'identification codées en dur
Définir le délai d'expiration à une seconde pour accélérer les analyses.
Ajout de fichiers .properties pour l'investigation des secrets codés en dur.
CWE-798 Performances des secrets optimisées lors de la vérification des données d'identification codées en dur.
CWE-798 Ajout d'une vérification des données d'identification JWT codées en dur.
CWE-798 Ajout d'une vérification des données d'identification codées en dur transmises via un appel Base64.encode.

Mises à jour des règles dans la AppScan® Source version 10.11.0

Langue CWE Description
Android Java CWE-319 Nouvelle couverture : Vérifie si usesCleartextTraffic ou cleartextTrafficPermitted est défini sur true dans le fichier AndroidManifest.xml, ce qui est une pratique non sécurisée.
C# CWE-89 Nouvelle couverture : Ajout d'une vérification d'injection SQL pour prendre en compte le modèle += ainsi que certains modèles de procédure enregistrés.
CWE-89 Nouvelle couverture : Contrôle plus limité pour garantir que nous sommes dans une requête afin de réduire le bruit.
CWE-215 Vérifiez les appels de journalisation pour détecter les variables suspectes contenant des informations sensibles.
CWE-397 Recherchez les lancers génériques, potentiellement dangereux, tels que new Exception ou new SystemException.
CWE-1004 Réduction du bruit : Vérifiez la présence de la valeur http=true et, si elle est définie, évitez une constatation.
Dart : Flutter

(prise en charge d'une nouvelle structure, nouvelle couverture)		 CWE-35 Vérifie si MethodChannel utilise un argument de chemin potentiellement contrôlé par l'utilisateur.
CWE-78 Recherche une injection potentielle de système d'exploitation dans les appels MethodChannel.
CWE-80 Vérifie WebView ou InAppWebView pour voir si JavaScript n'est pas restreint, ce qui est une pratique dangereuse.
CWE-89 Prise en charge de l'API DB spécifique au flutter sqflite
CWE-117 Permet d'afficher les instructions d'impression et similaires qui ne sont pas encapsulées dans des contrôles de débogage. Ces appels ne doivent généralement pas se trouver dans le code de production en dehors d'une branche de débogage.
CWE-312 La règle vérifie si FlutterSecureStorage stocke des informations confidentielles suspectées, telles que des mots de passe ou d'autres informations de session.
CWE-598 Vérifie l'objet navigateur pour détecter les utilisations potentiellement dangereuses des paramètres de requête.
CWE-918 Recherche les URL contrôlées par l'utilisateur dans MethodChannel.invokeMethod en tant que vecteur d'attaque SSRF.
CWE-943 Vérifiez la présence d'injection forNoSQL.
CWE-338 Recherchez les nombres pseudo-aléatoires faibles.
CWE-116 Recherchez les appels de style File.writeAs.
CWE-79 Examinez l'utilisation potentiellement non sécurisée de Response.ok et d'appels similaires.
CWE-348 Recherchez la liste des répertoires potentiellement dangereux.
CWE-78 Vérifiez l'utilisation dangereuse de Process.run.
CWE-89 Couvrez les appels de style requête/exécution/préparation pour le potentiel d'injection SQL.
Java CWE-215 Vérifiez les appels de journalisation pour détecter les variables suspectes contenant des informations sensibles.
CWE-397 Recherchez les lancers génériques, potentiellement dangereux, tels que Exception ou Throwable.
CWE-396 Recherchez les blocs de capture génériques tels que catch(Exception e) ou catch (Throwable t).
JavaScript : Angular CWE-80 Réduction du bruit : Vérifiez que nous ne sommes pas dans un modèle @if
JavaScript CWE-397 Recherchez les lancers génériques, potentiellement dangereux, tels que « message ».
CWE-80 Correction d'un défaut où le modèle @if est utilisé et n'est pas un modèle handlebars.
NodeJS CWE-78 Vérification supplémentaire pour les appels child_process.exec dangereux.
Perl CWE-89 Réduire le bruit dans la règle d'injection SQL qui a produit de manière erronée des résultats pour les instructions paramétrées.
CWE-732 Réduisez le bruit pour les appels ouverts en utilisant l'entrée STDIN.
CWE-732 Couverture plus complète des appels IO::File::open.
PHP CWE-213 Ajout d'une vérification pour les appels phpInfo persistants dans le code PHP.
CWE-89 Nouvelle vérification pour valider les conclusions à l'aide de sqlite_escape_string.
CWE-397 Recherchez les lancers génériques, potentiellement dangereux, tels que Error("foo").
Python CWE-397 Recherchez les lancers génériques, potentiellement dangereux, tels que BaseException.
Secrets CWE-798 Ajoutez une vérification de privateKey pour les secrets codés en dur.
CWE-798 Nouvelle couverture : Ajout de la prise en charge de Tuleap.
CWE-798 Nouvelle couverture : Vérification des mots de passe codés en dur dans les appels equalsIgnoreCase.
CWE-798 Réduction du bruit : Évitez d'ajouter une recherche pour le code C\C++ commenté pour le lecteur de codes secrets.
Swift CWE-1188 Nouvelle couverture : Fichier de vérification info.plist pour UIFileSharingEnabled ou LSSupportsOpeningDocumentsInPlace défini sur true qui n'est pas sécurisé.
TypeScript CWE-94 Vérification supplémentaire pour eval contenant une variable potentiellement contrôlée par l'utilisateur.

De plus, il y a une mise à jour de CWE-319 en général. Nous avons supprimé les règles à la recherche de chaînes de style http non sécurisées dans le code, car elles sont trop bruyantes. Nous recherchons toujours des instances spécifiques de communications ouvertes utilisées dans notre scanner hybride où cela semble logique, par exemple pour les appels de récupération dans JavaScript.

Ce changement vers CWE-319 a un impact sur les langues suivantes :
  • ASP
  • Golang
  • Groovy
  • Kotlin
  • Objective-C
  • PHP
  • Scala
  • Swift
  • C#
  • Dart
  • RPG
  • VB
  • Xamarin

Mises à jour des règles dans la AppScan® Source version 10.10.0

Langue CWE Description
C# CWE-89 Réduction du bruit en détection SQLi.
CSS CWE-79 Réduction du bruit détecté lors de la vérification des variables codées en dur dans les fichiers .css.
Go CWE-79 Réduction du bruit produit lors de la vérification fprintf.
Docker IaC CWE-22 Vérification de l'ajout de chemins sensibles dans DockerFile.
Kubernetes IaC CWE-209 Ajout d'une vérification du code de trace de pile laissé dans les fichiers de configuration .yaml.
Java CWE-78 Recherche les appels en ligne de Runtime.getRunTime().
CWE-757 Amélioration de la liste des éléments considérés comme non sécurisés et défectueux.
CWE-916 Vérification du nombre d'itérations faibles pour PBEKeySpec et PBEParameterSpec.
CWE-1188 Vérification du déni de service avec le constructeur StringBuilder à l'aide de valeurs importantes ou contrôlées par l'utilisateur.
CWE-209 Vérification de l'utilisation de System.out et System.err dans le code (appels de débogage qui devraient être supprimés du code de production).
PHP CWE-89 Ajout d'une vérification de validation pour sqlite_escape_string.
Python CWE-78 Vérifie l'absence d'utilisation dangereuse de os.system.
CWE-79 Amélioration de la clarté de la règle pour Python Django.
Secrets CWE-798 Certains motifs parasites ont été supprimés des résultats.
CWE-798 Recherche des informations d'identification codées en dur dans les fichiers web.config.
CWE-1051 Vérification des adresses IP codées en dur ajustée pour éviter les chaînes qui semblent être des adresses IP, mais qui ne le sont pas.
CWE-1051 Suppression des schémas erronés pour la vérification des adresses IP codées en dur.
CWE-798 Suppression des schémas erronés pour les informations d'identification codées en dur :
  • Évitement des schémas erronés dans le code Rust.
  • Ajout de vérifications dans la règle Secrets - Creds - Key : value pair afin d’éliminer les résultats sans guillemets dans les fichiers Python.
  • Ajout d'une vérification pour filtrer les mots de passe bruyants tels que 1234, wrongpassword, testpassword, noreply.
  • Ajustement d'autres extraits pour éliminer les constatations telles que les mots de passe avec 1234.
  • Actuellement, la règle de paire clé:valeur recherche le contexte jusqu'à la fin de la ligne. Les fins de ligne contenant , ou " ont donc été supprimées.
CWE-1051 Réduction du bruit : la vérification des adresses IP codées en dur permet d'éviter les numéros de version probables
CWE-798 Réduction du bruit dans la détection des secrets Atlassian.
CWE-798 Réduction du bruit dans les paires clé/valeur des secrets.
CWE-798 Couverture supplémentaire pour rechercher les mots de passe contenant 1234 dans la chaîne en tant que partie intégrante du mot de passe codé en dur.

Mises à jour des règles dans AppScan® Source version 10.9.0

Note:
  1. Nouvelles règles
Langage CWE Description
Tous les langages CWE-798 Réduction du bruit améliorée
C# CWE-1333 Vérification des délais appliqués aux objets RegEx1
CWE-89 Nouvelles captures de SQLi via la création de la requête String.Append
Informations de sécurité mises à jour pour Microsoft.CodeAnalysis.CSharp.Scripting et Microsoft.AspNetCore.Mvc.ViewFeatures
Examen de code source C# CWE-94 Vérification de CSharpScript.EvaluateAsync.1
CWE-532 Vérifier l'enregistrement des informations personnelles identifiables (PII), telles que les noms d'utilisateur ou les mots de passe.1
CWE-111 Vérifier l'absence d'utilisations dangereuses de DllImport.1
ColdFusion CWE-328 Réglage de la vérification pour améliorer les performances
HTML CWE-319 Éviter les éléments de type localhost dans l'URL
IaC CWE-311 Vérification supplémentaire des paramètres TLS appropriés sur Amazon Load Balancer
Examen de code source Java CWE-532 Vérifier l'enregistrement des informations personnelles identifiables (PII), telles que les noms d'utilisateur ou les mots de passe.1
CWE-102 Rechercher les noms de formulaires en double dans les fichiers XML de validation Struts.1
CWE-104 Recherchez une classe qui étend un ActionForm sans validation.1
JavaScript CWE-598 Recherche de défauts URLSearchParams dans les fichiers JavaScript.1
PHP CWE-111 Vérifiez les utilisations de FFI::cdef contenant des appels dangereux.1
Python CWE-502 Recherche d'une utilisation non sécurisée de la réflexion dans Java1
CWE-111 Vérifiez les utilisations de ctypes.DLL n'utilisant pas un chemin complet pour l'argument.1

Mises à jour des règles dans AppScan® Source version 10.8.0

Note:
  1. Nouvelles règles
  2. Réduction du bruit dans la règle
Langue CWE Description
ASP.NET CWE-1188 Etat de session sans cookie activé dans la configuration de projet. 2
CWE-79 Eventuelle attaque XSS pour l'expression en ligne dans le code. 2
C# CWE-601 Redirection de demande avec des données contrôlées par l'utilisateur potentielles dans des variables. 2
CWE-185 Injection d'expression régulière.2
CWE-78 Ajusté pour réduire le bruit dans les résultats concernant l'injection de commandes OS.
HTML CWE-79 Nouvelles règles pour les extensions de fichier :
  • htm
  • html
  • rhtml
  • xhtml
  • cshtml
  • vbhtml
CWE-319
CWE-524
CWE-525
CWE-598
CWE-1021
CWE-1022
IaC CWE-798 Ajusté pour réduire les faux positifs liés aux constructions de code TypeScript.
CWE-1051 Ajusté pour réduire les faux positifs liés aux motifs d’adresses IP dans les fichiers HTML.
CWE-1328 Ajusté pour réduire les faux positifs liés aux références d’images Docker.
IaC Terraform CWE-410 Configuration non sécurisée de l’équilibreur de charge.1
Java CWE-337 Seed prévisible pour l'instance SecureRandom dans le code Java.2
CWE-918 Server-Side Request Forgery dans RestTemplate().exchange. 2
CWE-185 Injection d’expression régulière dans du code Java.2
CWE-244 Mot de passe stocké dans un objet String Java.2
JavaScript CWE-79 Utilisation non sécurisée de document.referrer.2
CWE-209 Ajusté pour réduire les résultats parasites.
CWE-359 Ajusté pour réduire les résultats parasites.
CWE-1022 Ajusté pour réduire les constatations erronées pour les résultats window.open.
PHP CWE-79 Données contrôlées par l'utilisateur dans PHP converties en HTML.2
Python Django CWE-79
  • Collecte en cours des fichiers HTML à examiner pour Python
  • Nouvelles règles ajoutées.
CWE-89
CWE-200
CWE-201
CWE-212
CWE-352
CWE-497
CWE-522
CWE-523
CWE-795
CWE-918
CWE-1021
CWE-1188
CWE-1295
Secrets CWE-798 Informations d'authentification de base codées en dur.1
CWE-798 Recherche de mots de passe codés en dur trouvés dans les chaînes de requête d'URL.
CWE-284 Ajusté pour réduire les constatations erronées dans les résultats d’exposition des jetons de signatures d’accès partagé Azure.
VB.NET CWE-502 Désérialisation possible.2
Visual Basic CWE-78 Ajusté pour réduire les constatations erronées.
CWE-328 Ajusté pour réduire les constatations erronées.

Mises à jour des règles dans AppScan® Source version 10.7.0

  1. Nouvelles règles
  2. Corrections de règles
Langue CWE Modifier
Générales CWE-319 Meilleure gestion des règles de communication ouverte pour toutes les langues afin d’éviter les constatations erronées.
.NET ASP.NET CWE-1188 Etat de session sans cookie activé dans la configuration de projet ASP.NET.
C# CWE-319 Schéma de communications ouvertes détecté.
CWE-328 Algorithme de chiffrement faible détecté.
CWE-327 Le générateur JWT sans vérification de signature est détecté.
VB.NET CWE-1173 La validation de la requête HTTP est désactivée dans le code VB.
CWE-328 Utilisation d'un algorithme cryptographique faible dans le code VB.
Angular CWE-94 Vulnérabilité potentielle d'injection de code dans une machine virtuelle sandbox.1
CWE-312 Le stockage local évite les appels à setItem liés à l'ordre de tri.
Onglet de propriétés AngularJS et AllFolders CWE-477 Appel obsolète détecté : (ng-bind-html-unsafe).
Sommet CWE-943 Injection SOQL.
CWE-943 Injection SOSL.
CWE-328 Algorithme de hachage faible choisi.
CWE-79 Attaque par script intersite (XSS) de script ou style.
ASP CWE-319 Schéma de communications ouvertes détecté dans le code ASP.
CWE-79 Vérifie qu'une validation appropriée est effectuée à l'aide de Server.HTMLEncode.
C/C++ CWE-367 Utilisation potentiellement dangereuse de la fonction de nom de fichier temporaire. Contexte corrigé.2
CWE-78 Injection potentielle de commande détectée. Couverture étendue.2
CWE-250 Appel CreateFile qui semble enfreindre le principe du moindre privilège.
CWE-250 L'indicateur FILE_FLAG_FIRST_PIPE_INSTANCE est manquant dans CreateNamedPipe.
CWE-757 Utilisation non sécurisée du protocole (SSL/TLS) détectée.
CWE-295 Utilisation potentiellement dangereuse de la configuration Curl découverte (sept règles différentes dans cette catégorie).
CWE-427 Manipulation potentielle du registre du principe du moindre privilège détectée.
CWE-611 Traitement d'entité externe non sécurisé activé.
ColdFusion CWE-524 Mise en cache cfCache des pages sécurisées.
CWE-502 cfWddx ne comporte pas de validation WDDX.
CWE-862 Client non vérifié dans cfFunction.
CWE-319 Communications non sécurisées.
CWE-307 Validation de soumissions multiples.
CWE-327 Algorithme non sécurisé utilisé dans la fonction de chiffrement.
CSS CWE-79 Adapté pour éviter les constatations erronées.
Dart CWE-522 AutoComplete activé pour les champs potentiellement sensibles.
CWE-319 Schéma de communications ouvertes détecté avec HttpServer.
CWE-319 Communications par socket ouvertes détectées.
CWE-319 Schéma de communications ouvertes avec Uri détecté.
CWE-79 Utilisation non sécurisée de fenêtre ouverte dans le code Dart.
CWE-319 Schéma de communications ouvertes détecté dans la chaîne.
CWE-79 Mot clé de stratégie de sécurité du contenu non sécurisé trouvé.
CWE-328 Plus sélectif lors de la présentation des constatations afin d’éviter les constatations erronées les plus évidentes.
CWE-319 Adapté pour éviter les constatations erronées.
Docker CWE-770 Limitez l'UC pour éviter une attaque par refus de service (DoS).
CWE-770 Limitez le nombre de redémarrages en cas d'échec pour éviter un refus de service (DoS).
Go CWE-489 Débogage du package pprof pour HTTP détecté.
CWE-1004 Code Golang contenant un http.Cookie non sécurisé.
CWE-319 Schéma de communications ouvertes détecté dans le code Golang.
Groovy CWE-319 Schéma de communications ouvertes détecté dans le code Groovy.
CWE-79 Vulnérabilité d'attaque par script intersite potentielle détectée dans le code source Groovy.
Java CWE-489 L'activation du débogage dans la sécurité Web révèle des données dans Spring.
CWE-1390 Ignorer les commentaires dans SAML entraîne une violation de l'authentification.
CWE-548 Liste de répertoires non sécurisés pour le servlet par défaut dans la configuration tomcat.
CWE-276 Utilisation non sécurisée d'autorisation de fichier dans Java.
CWE-489 Une impression de trace de pile est détectée dans le code Java.
CWE-489 L'indicateur de débogage est défini sur true dans l'application Android.
CWE-1188 Mode de préférences partagées incorrect détecté dans le code Android.
JavaScript CWE-359 Stratégie non sécurisée de transmission d'événements : contexte corrigé.2
CWE-79 Vulnérabilité XSS potentielle détectée dans jQuery.append. Des performances plus rapides dès maintenant.2
CWE-79 Il est dangereux de contourner la méthode d'échappement Mustache.
CWE-319 Stratégie non sécurisée de transmission d'événements.
CWE-200 Ajout d'une vérification des origines cibles dangereuses lors des appels window.postMessage.
CWE-913 Modifié pour éviter les résultats parasites.
Scanner de code source Java CWE-918 Recherche de SSRF lors des appels RestTemplate().exchange.
CWE-303 Recherche d'appels dangereux à NoOpPasswordEncoder.getInstance.
CWE-89 Recherche de cas supplémentaires pour SQLi.
CWE-22 Recherche d'autres emplacements présentant d'éventuels problèmes de traversée de chemin
CWE-798 Recherche d'informations d'identification codées en dur dans les appels HashMap.put et les setters.
Jquery CWE-79 Modifié pour éviter les résultats parasites.
Kotlin CWE-319 Communication ouverte détectée dans le code Kotlin.
NodeJS CWE-614 Cookie disposant d'un indicateur défini sur une valeur non sécurisée ou d'un indicateur de sécurité manquant.
CWE-328 Algorithme non sécurisé utilisé dans le chiffrement createCipheriv.
CWE-295 Configuration non sécurisée de la vérification des certificats SSL pour la désactivation de node-curl.
CWE-78 Génération de shell d'exécution détectée.
CWE-1004 Configuration non sécurisée de l'attribut de cookie HTTPOnly manquant.
Objective-C CWE-319 Schéma de communications ouvertes détecté dans le code Objective-C.
CWE-798 Modifié pour éviter des constatations erronées supplémentaires.
PHP CWE-10041 Cookie sensible sans indicateur HttpOnly.
CWE-6141 Cookie sensible dans la session HTTPS sans attribut secure.
CWE-791 Variable PHP intégrée détectée.
CWE-981 Vulnérabilité potentielle d'inclusion de fichiers détectée dans le code PHP.
CWE-6111 Injection d'entité externe XML détectée dans le code PHP.
CWE-78 Exécution de commande PHP utilisant potentiellement des données fournies par l'utilisateur. Couverture élargie.2
CWE-644 Injection d'en-tête potentielle détectée. Couverture élargie.2
CWE-327 Utilisation d'un algorithme non sécurisé détectée. Contrôles et couverture étendus.2
CWE-319 Communication ouverte détectée dans la structure PHP Symfony.
CWE-1004 Indicateur HTTPOnly manquant ou non sécurisé dans setcookie.
CWE-319 Schéma de communications ouvertes détecté.
CWE-544 L'instruction error_reporting n'a pas été configurée pour permettre le niveau de rapport d'erreurs le plus élevé possible.
CWE-798 Vérifie la valeur et s'assure qu'il s'agit bien d'une chaîne littérale représentant un mot de passe probable en texte clair stocké dans le code.
PL/SQL CWE-331 Utilisation non sécurisée de DBMS_RANDOM.
Python CWE-311 URL utilisant http. Couverture étendue.2
CWE-311 Fichier temporaire avec condition de concurrence TOCTTOU. Couverture fixée.2
CWE-367 Fichier temporaire avec condition de concurrence TOCTTOU.
CWE-319 URL utilisant http.
CWE-78 Injection de système d'exploitation Python.
CWE-319 Utilisation FTP non sécurisée.
CWE-78 Injection de commande popen.
CWE-276 Utilisation de 777 avec umask.
ReactNative CWE-319 Communication ouverte détectée. Contexte corrigé.2
CWE-319 Communication ouverte détectée.
CWE-295 Désactivation de l'épinglage SSL détecté.
RPG CWE-319 Communication ouverte détectée dans le code.
Ruby CWE-78 L’utilisation non sécurisée de guillemets simples inversés dans l’expression régulière doit être améliorée. Couverture étendue.2
CWE-78 Utilisation non sécurisée de guillemets simples inversés. Couverture étendue.2
CWE-425 Affectation de masse Ruby.
CWE-359 Divulgation d'informations Ruby.
Scala CWE-319 Schéma de communications ouvertes détecté dans le code Scala.
CWE-79 Vulnérabilité potentielle de script côté client via l'accès aux cookies détectée dans le code source Scala.
Secrets CWE-1051 Adresse IP codée en dur détectée. Couverture étendue.2
CWE-798 Identifiants codés en dur détectés. Couverture étendue.2
CWE-798 Évite les fichiers JS minifiés.
CWE-798 Évite d'analyser les fichiers de traduction pour réduire le bruit
Swift CWE-319 Schéma de communications ouvertes détecté dans le code Swift.
CWE-79 Vulnérabilité potentielle d'attaque par script intersite lors de l'utilisation de loadRequest() dans iOS UIWebView.
Terraform CWE-359 Instance AWS exposant les secrets de données utilisateur détectée.
CWE-778 Le profil de surveillance des journaux Azure devrait définir toutes les catégories obligatoires.
CWE-732 Le compte de service par défaut est utilisé au niveau du dossier, du projet ou de l'organisation.
CWE-671 Le service de messagerie et les co-administrateurs ne sont pas activés dans les serveurs SQL.
CWE-923 Vérifiez que l'accès réseau par défaut du compte de stockage Azure est défini sur Refuser.
CWE-923 Vérifiez que la règle de pare-feu GCP n'autorise pas un accès illimité.
CWE-732 Instance Google Compute accessible au public.
CWE-732 Compartiment de stockage Google accessible au public.
CWE-732 Autorisations d'accès non sécurisées pour le compartiment Amazon S3.
CWE-1220 Nouvelle règle vérifiant si les cidr_blocks du groupe de sécurité de sortie sont définis de manière trop permissive.
TypeScript CWE-943 Recherche une éventuelle injection NoSQL MongoDB dans des fichiers TypeScript.
CWE-943 Recherche des cas supplémentaires pour SQLi.
Visual Basic CWE-319 Schéma de communications ouvertes détecté dans le code VB.
VueJS CWE-79 Ajusté pour éviter de générer un résultat lorsque cet élément est trouvé dans une déclaration de méthode.
Xamarin CWE-319 Communication ouverte détectée dans Xamarin.