ルールの更新

バージョン AppScan® Source 10.12.0 のルールの更新

  1. 新規ルール
言語 CWE 説明
Delphi (Object Pascal を含む)1 CWE-22 制限されたディレクトリーへのパス名の不適切な制限
CWE-77 コマンドで使用される特殊要素の不適切な中立化
CWE-78 OS コマンドで使用される特殊要素の不適切な中立化
CWE-79 Web ページ生成時の入力の不適切な中立化 (クロスサイト・スクリプティング)
CWE-89 SQL コマンドで使用される特殊要素の不適切な中立化
CWE-94 コードの生成の不適切な制御 (「コード・インジェクション」)
CWE-99 リソース識別子の不適切な制御 (「リソース・インジェクション」)
CWE-119 メモリー・バッファー境界内での不適切な操作制限
CWE-120 入力サイズを確認しないバッファー・コピー
CWE-200 情報公開
CWE-266 不適切な権限割り当て
CWE-295 不適切な証明書検証
CWE-312 機密情報のクリア・テキストでの保存
CWE-327 破損した、または危険のある暗号アルゴリズムの使用
CWE-328 脆弱なハッシュの使用
CWE-330 十分にランダムでない値の使用
CWE-338 暗号的に脆弱な疑似乱数生成器 (PRNG) の使用
CWE-345 データの真正性の検証が不十分
CWE-434 危険なタイプのファイルの無制限アップロード
CWE-497 権限のない制御領域へのシステム・データの露出
CWE-502 信頼できないデータのデシリアライズ。
CWE-614 HTTPS セッションにおける 'Secure' 属性のないセンシティブ Cookie
CWE-643 XPath 式内のデータの不適切な無害化 ('Xpath インジェクション')
CWE-760 予測可能なソルトを使用した一方向ハッシュの使用
CWE-780 OAEP を使用しない RSA アルゴリズムの使用
CWE-787 境界外書き込み
CWE-798 ハードコードされた資格情報の使用
CWE-942 信頼されていないドメインに対する過度に許可されたクロスドメインポリシー
CWE-1004 「HttpOnly」フラグのない機密Cookie
CWE-120 StrCopy、StrCat、StrPCopy、lstrcpy、およびlstrcatの安全でない使用を確認します。1
CWE-143 書式文字列の使用における安全でない書式を確認します。1
CWE-295 SSL証明書の検証を無効にする設定を確認します。1
CWE-33 RandSeedの使用を確認します。1
CWE-367 ファイルに関するTOCTOU（確認時点と使用時点）の競合状態を確認します。1
CWE-522 空またはnullの暗号化キーを確認します。1
CWE-522 データベース接続文字列にハードコーディングされた資格情報を確認します。1
CWE-539 非常に長いCookieの有効期限を確認します。1
CWE-693 非推奨の X-XSS-Protection ヘッダーの使用をチェックします。1
CWE-693 セキュアなコンパイラー・ディレクティブの無効化をチェックします。1
CWE-703 不適切な例外の再スローをチェックします。1
CWE-732 新しい Cookie の安全でないドメイン・エントリーをチェックします。1
CWE-732 安全でない Cookie パス・エントリーをチェックします。1
HTML CWE-798 ハードコーディングされた値を持つ、ハードコーディングされた入力要素タイプのパスワード・フィールドのチェックを追加しました。
Note: ソース・コード・スキャナーとハイブリッド・スキャナーの両方に追加しました。
Java CWE-502 安全でないデシリアライゼーションに対する追加チェックを追加しました。1
CWE-532 機密情報のログ出力の欠陥に対する追加チェックを追加しました。1
CWE-1004 Cookie に HttpOnly フラグが欠落している場合の新しいチェックを追加しました。1
CWE-79 SpringBoot コントローラーでサニタイズされていないユーザー入力の HTTP レスポンスをチェックします。1
CWE-208 機密性の高い可能性がある文字列を使用したタイミング攻撃をチェックします。1
CWE-215 機密情報を公開する SpringBoot 構成をチェックします。1
CWE-338 脆弱な乱数ジェネレーターをチェックするルールが対象とする API を拡張しました
CWE-502 XStream デシリアライゼーションの危険な使用をチェックします。1
CWE-611 危険な XMLInputFactory 構成もチェックするようにルールを拡張しました。
CWE-614 新しい Cookie にセキュア・フラグが欠落していないかチェックします。1
CWE-749 Spring アプリケーションの安全でない RequestMapping アノテーションをチェックします。1
CWE-76 一方向ハッシュ・アルゴリズムで予測可能なソルトが使用されていないかチェックします。1
CWE-922 HTTP セッションへの機密データの保存をチェックします。1
CWE-1275 Cookie のセキュアな SameSite 設定をチェックします。1
MuleSoft1 CWE-22 制限されたディレクトリーへのパス名の不適切な制限 (「パス・トラバーサル」)
CWE-78 OS コマンドで使用される特殊要素の不適切な中立化 (「OS コマンド注入」)
CWE-79 Web ページ生成時の入力の不適切な中立化 (「クロスサイト・スクリプティング」)
CWE-89 SQL コマンドで使用される特殊要素の不適切な中立化 (「SQL 注入」)
CWE-94 コード生成の不適切な制御 (「コード・インジェクション」)
CWE-306 重大な機能に関する認証の欠落
CWE-319 機密情報のクリア・テキストでの送信
CWE-326 不適切な暗号化強度
CWE-338 暗号的に脆弱な疑似乱数ジェネレーター (PRNG) の使用
CWE-359 権限のないアクターへの個人のプライベート情報の漏えい
CWE-497 権限のない制御領域へのシステムの機密情報の漏えい
CWE-532 ログ・ファイルへの機密情報の挿入
CWE-611 XML 外部エンティティー参照の不適切な制限
CWE-942 信頼されていないドメインに対する許容的なクロスドメイン・セキュリティー・ポリシー
CWE-1287 指定された入力タイプの不適切な検証
PHP CWE-79 Web ページ生成時の入力の不適切な中立化 (「クロスサイト・スクリプティング」)
シークレット CWE-798 ハードコーディングされた資格情報の使用
スキャンを高速化するためにタイムアウトを 1 秒に設定します。
ハードコーディングされたシークレットを調査するための .properties ファイルを追加します。
CWE-798 ハードコーディングされた資格情報をチェックする際のシークレットのパフォーマンスを最適化しました。
CWE-798 JWT のハードコーディングされた資格情報のチェックを追加しました。
CWE-798 Base64.encode 呼び出しを通じて渡されるハードコーディングされた資格情報のチェックを追加しました。

バージョン AppScan® Source 10.11.0 のルールの更新

言語 CWE 説明
Android Java CWE-319 新たな対象範囲: AndroidManifest.xml ファイルで usesCleartextTraffic または cleartextTrafficPermitted が true に設定されているかどうかをチェックします (安全でない設定)。
C# CWE-89 新たな対象範囲: += パターンと一部のストアド・プロシージャ・パターンを検出するように SQL インジェクションに対するチェックを追加しました。
CWE-89 新たな対象範囲: ノイズを低減するために、正しいクエリであるかを確認するより制約が高いチェックを追加しました。
CWE-215 機密情報を含む疑わしい変数がないかログ出力を確認します。
CWE-397 新しい例外のスローや新しい SystemException のスローなど、安全ではない可能性がある、汎用的スローを探します。
CWE-1004 ノイズ低減: http=true をチェックし、設定されている場合は検出を回避します。
Dart: Flutter

(新しいフレームワークのサポート、新たな対象範囲)		 CWE-35 ユーザーが制御できる可能性のあるパス引数を MethodChannel が使用していないかチェックします。
CWE-78 MethodChannel 呼び出しに潜在的な OS インジェクションがないか探します。
CWE-80 javascript が制限されていない状態 (危険) になっていないか WebView または InAppWebView をチェックします。
CWE-89 sqflite flutter 固有の DB API をサポートします。
CWE-117 デバッグ制御で囲まれていない print および同様のステートメントを検出します。これらの呼び出しは一般的に、デバッグ用ブランチ以外の実稼働コードで使用すべきではありません。
CWE-312 FlutterSecureStorage がパスワードやその他のセッション情報などの機密情報と思われるデータを保存しているかどうかを確認するルールです。
CWE-598 Navigator オブジェクトでクエリー・パラメーターの安全でない可能性のある使用法がないか確認します。
CWE-918 MethodChannel.invokeMethod でユーザーが制御可能な URL を SSRF 攻撃ベクトルとして探します。
CWE-943 NoSQL インジェクションを探します。
CWE-338 eak psuedo 乱数を探します。
CWE-116 File.writeAs スタイルの呼び出しを探します。
CWE-79 安全でない可能性のある方法で Response.ok の呼び出しや類似の呼び出しが使用されていないか確認します。
CWE-348 安全でない可能性のあるディレクトリーの一覧表を探します。
CWE-78 Process.run が安全でない方法で使用されていないか確認します。
CWE-89 SQL インジェクションの可能性がないか、query/execute/prepare スタイルの呼び出しをチェックします。
Java CWE-215 機密情報を含む疑わしい変数がないかログ出力を確認します。
CWE-397 例外のスローや Throwable のスローなど、安全ではない可能性がある、汎用的なスローを探します。
CWE-396 catch (Exception e) や catch (Throwable t) などの汎用的な catch ブロックを探します。
JavaScript: Angular CWE-80 ノイズ低減: @if テンプレートを使用していないことを確認します。
JavaScript CWE-397 "message" のスローなど、安全ではない可能性がある、汎用的なスローを探します。
CWE-80 @if パターンが使用されているが、handlebars テンプレートではない不具合が修正されました。
NodeJS CWE-78 安全でない child_process.exec 呼び出しがないかチェックを追加しました。
Perl CWE-89 パラメーター化されたステートメントに対して誤検出を生成していた SQL インジェクション・ルールのノイズを低減します。
CWE-732 入力として STDIN を使用して、オープン・コールにおけるノイズを低減します。
CWE-732 IO::File::open 呼び出しのカバレッジがより完全になりました。
PHP CWE-213 PHP コードに残存する phpinfo 呼び出しのチェックを追加しました。
CWE-89 sqlite_escape_string を使用して誤検出を検証する新しいチェックを追加しました。
CWE-397 Error("foo") のスローなど、安全でない可能性のある汎用的なスローを探します。
Python CWE-397 raise BaseException のスローなど、安全でない可能性のある汎用的なスローを探します。
シークレット CWE-798 ハードコードされたシークレットがないか秘密鍵を検証するチェックを追加しました。
CWE-798 新しい対象範囲: Tuleap のサポートが追加されました。
CWE-798 新しい対象範囲: equalsIgnoreCase 呼び出し内のハードコードされたパスワードをチェックします。
CWE-798 ノイズ低減: コメントアウトされた C\C++ コードの検出結果をシークレット・スキャナーの検出結果として追加しないようにします。
Swift CWE-1188 新しい対象範囲: UIFileSharingEnabled または LSSupportsOpeningDocumentsInPlace が安全でない true に設定されていないか info.plist ファイルをチェックします。
TypeScript CWE-94 ユーザーが制御できる可能性のある変数を含む eval に対するチェックを追加しました。

また、CWE-319 に関する一般的なアップデートも行われています。ノイズが多すぎるため、コード内の危険な http スタイルの文字列を探すルールを削除しました。適切な場面では、JavaScript での fetch 呼び出しなど、ハイブリッド・スキャナーで使用されているオープンな通信の具体的なインスタンスを引き続き探します。

この CWE-319 への変更は、次の言語に影響します。
  • ASP
  • Golang
  • Groovy
  • Kotlin
  • Objective-C
  • PHP
  • Scala
  • Swift
  • C#
  • Dart
  • RPG
  • VB
  • Xamarin

バージョン AppScan® Source 10.10.0 のルールの更新

言語 CWE 説明
C# CWE-89 SQLi 検出のノイズを低減します。
CSS CWE-79 .css ファイルのハードコードされた変数チェックで検出されたノイズを低減します。
移動 CWE-79 fprintf チェックで発生するノイズを低減します。
IaC Docker CWE-22 DockerFile に追加されている機密パスをチェックします。
IaC Kubernetes CWE-209 .yaml 構成ファイルに残されたスタック・トレース・コードのチェックが追加されました。
Java CWE-78 Runtime.getRunTime() のインライン・コールを検索します。
CWE-757 安全でない、および破損しているものに対するチェックリストを拡充しました。
CWE-916 PBEKeySpec と PBEParameterSpec の脆弱な反復回数をチェックします。
CWE-1188 大規模な値またはユーザー制御の値を使用し、StringBuilder コンストラクターでサービス拒否をチェックします。
CWE-209 コード内における System.out と System.err の使用状況 (本番コードから削除されるべきデバッグ・コール) をチェックします。
PHP CWE-89 sqlite_escape_string のバリデーター・チェックが追加されました。
Python CWE-78 os.system の安全でない使用を探します。
CWE-79 Python Django のルールの明確さが向上しました。
シークレット CWE-798 ノイズの多いパターンの一部は検出結果として削除されました。
CWE-798 web.config ファイルでハードコードされた資格情報を確認します。
CWE-1051 IP アドレスではないにもかかわらずそのように見える文字列を回避するために調整された、ハードコードされた IP アドレスをチェックします。
CWE-1051 ハードコードされた IP アドレス・チェックのノイズ・パターンを削除しました。
CWE-798 ハードコードされた資格情報のノイズ・パターンを削除しました:
  • Rust コードでノイズの多いパターンは避けてください。
  • Python ファイルで引用符のない検出結果を除去するため、Secrets - Creds - Key : value pair ルールにチェックが追加されました。
  • 1234、wrongpassword、testpassword、noreply などのノイズの多いパスワードをフィルタリングするチェックを追加しました。
  • 1234 を含むパスワードなどの検出結果を除去するため、他のスニペットが調整されました。
  • 現在、Key:value pair ルールでは、行末までのコンテキストが検出されます。そのため、, または " を含む行末を削除しました。
CWE-1051 ノイズ低減: ハードコードされた IP アドレスのチェックで類似したバージョン番号を回避します。
CWE-798 Atlassian シークレット検出のノイズを低減します。
CWE-798 シークレットのキーと値のペアに含まれるノイズを低減します。
CWE-798 対象範囲を拡大し、ハードコードされたパスワードの一部として文字列に含まれる 1234 のパスワードを検出します。

バージョン AppScan® Source 10.9.0 のルールの更新

Note:
  1. 新規ルール
言語 CWE 説明
すべての言語 CWE-798 ノイズ低減の改善
C# CWE-1333 正規表現オブジェクトに適用されたタイムアウトの確認1
CWE-89 String.Append を使用してクエリーを作成することによる SQLi の新しいキャプチャー
Microsoft.CodeAnalysis.CSharp.Scripting および Microsoft.AspNetCore.Mvc.ViewFeatures のセキュリティー情報が更新されました。
C# ソース・コード・スキャナー CWE-94 CSharpScript.EvaluateAsync のチェック。1
CWE-532 ユーザー名やパスワードなど個人識別情報 (PII) のログのチェック。1
CWE-111 DllImport の危険な使用のチェック。1
ColdFusion CWE-328 パフォーマンスを向上させるためのチェックを調整
HTML CWE-319 URL で localhost スタイルのノイズが発生しないようにします
IaC CWE-311 Amazon Load Balancer で適切な TLS 設定を確認するための追加チェック
Java ソース・コード・スキャナー CWE-532 ユーザー名やパスワードなど個人識別情報 (PII) のログのチェック。1
CWE-102 Struts 検証 XML ファイル内の重複フォーム名のチェック。1
CWE-104 ActionForm を検証しないで拡張するクラスのチェック。1
JavaScript CWE-598 JavaScript ファイルで URLSearchParams の欠陥を探しています。1
PHP CWE-111 安全でない呼び出しを含む FFI::cdef の使用のチェック。1
Python CWE-502 Java1 で安全でないリフレクションを探しています
CWE-111 引数の完全修飾パスを使用しない ctypes.DLL の使用のチェック。1

AppScan® Sourceバージョン 10.8.0 のルールの更新

Note:
  1. 新規ルール
  2. ルール内のノイズを低減しました
言語 CWE 説明
ASP.NET CWE-1188 プロジェクト構成で Cookieless セッション状態が有効になりました。2
CWE-79 コード内のインライン式の潜在的な XSS。2
C# CWE-601 変数内にユーザー制御データを持つ可能性のあるリダイレクトの要求。2
CWE-185 正規表現のインジェクション。2
CWE-78 OS インジェクションのノイズの多い検出結果を削減するための調整。
HTML CWE-79 ファイル拡張子の新規ルール:
  • htm
  • html
  • rhtml
  • xhtml
  • cshtml
  • vbhtml
CWE-319
CWE-524
CWE-525
CWE-598
CWE-1021
CWE-1022
IaC CWE-798 TypeScript コード構成に対するノイズの多い検出結果を削減するための調整。
CWE-1051 HTML ファイルの IP パターンのノイズの多い検出結果を削減するための調整。
CWE-1328 Docker イメージ参照のノイズの多い検出結果を削減するための調整。
IaC Terraform CWE-410 安全でないロード・バランサーの設定。1
Java CWE-337 Java コードにおける SecureRandom インスタンスのシードが予測可能。2
CWE-918 RestTemplate().exchange におけるサーバーサイド・リクエスト・フォージェリー。2
CWE-185 Java コードにおける正規表現のインジェクション。2
CWE-244 Java 文字列オブジェクトに格納されたパスワード。2
JavaScript CWE-79 document.referrer の安全でない使用。2
CWE-209 ノイズの多い検出結果を減らすための調整。
CWE-359 ノイズの多い検出結果を減らすための調整。
CWE-1022 window.open の検出結果のノイズの多い検出結果を削減するための調整。
PHP CWE-79 PHP 内のユーザー制御データが HTML に変換される。2
Python Django CWE-79
  • Python のレビュー用に HTML ファイルを収集するようになりました
  • 新規ルールが追加されました。
CWE-89
CWE-200
CWE-201
CWE-212
CWE-352
CWE-497
CWE-522
CWE-523
CWE-795
CWE-918
CWE-1021
CWE-1188
CWE-1295
シークレット CWE-798 ハードコードされた基本認証資格情報。1
CWE-798 URL クエリー文字列内のハードコードされたパスワードを検索。
CWE-284 Azure 共有アクセス署名トークン露出のノイズの多い検出結果を削減するための調整。
VB.NET CWE-502 シリアル化解除の可能性。2
Visual Basic CWE-78 ノイズの多い検出結果を削減するための変更
CWE-328 ノイズの多い検出結果を削減するための変更

AppScan® Sourceバージョン 10.7.0 のルールの更新

  1. 新規ルール
  2. ルール修正
言語 CWE 変更
一般 CWE-319 全言語のオープン・コミュニケーション・ルールの処理を改善して、ノイズの多い検出結果を回避します。
.NET ASP.NET CWE-1188 ASP.NET プロジェクト構成で Cookieless セッション状態が有効になりました。
C# CWE-319 オープン通信スキームを検出しました。
CWE-328 脆弱な暗号アルゴリズムを検出しました。
CWE-327 署名検証のない JWT Builder を検出しました。
VB.NET CWE-1173 VB コードで HTTP 要求の検証が無効になっています。
CWE-328 VB コードで脆弱な暗号化アルゴリズムが使用されています。
Angular CWE-94 サンドボックス VM に潜在的なコード・インジェクションの脆弱性があります。1
CWE-312 ローカル・ストレージがソートの方向に関連する setItem 呼び出しを回避しています。
「AngularJS と AllFolders」プロパティー・タブ CWE-477 非推奨の呼び出しが見つかりました: (ng-bind-html-unsafe)。
Apex CWE-943 SOQL インジェクション。
CWE-943 SOSL インジェクション。
CWE-328 脆弱なハッシュ・アルゴリズムが選択されています。
CWE-79 スクリプトまたはスタイルのクロスサイト・スクリプティング (XSS)。
ASP CWE-319 ASP コードでオープン通信スキームが検出されました。
CWE-79 Server.HTMLEncode を使用して適切に検証しているかを確認します。
C/C++ CWE-367 一時ファイル名関数の潜在的に危険な使用。コンテキストを訂正しました。2
CWE-78 潜在的なコマンド・インジェクションを検出しました。カバレッジを拡大しました。2
CWE-250 最小権限の原則に違反していると思われる CreateFile 呼び出し。
CWE-250 CreateNamedPipe に FILE_FLAG_FIRST_PIPE_INSTANCE フラグがない。
CWE-757 (SSL/TLS) プロトコルの安全ではない使用を検出しました。
CWE-295 危険の可能性がある Curl 構成の使用を検出しました (このカテゴリーには異なる 7 種類のルールがあります)。
CWE-427 レジストリー操作の最小特権原則の可能性を検出しました。
CWE-611 安全でない外部エンティティー処理が有効です。
ColdFusion CWE-524 cfCache によるセキュア・ページのキャッシング。
CWE-502 cfWddx に WDDX 検証がない。
CWE-862 cfFunction でクライアントが検証されない。
CWE-319 安全ではない通信。
CWE-307 複数の送信の検証。
CWE-327 暗号化関数での安全でないアルゴリズムの使用。
CSS CWE-79 ノイズの多い検出結果を回避するための調整。
Dart CWE-522 潜在的に機密性の高いフィールドに対して AutoComplete がオンになっている。
CWE-319 HttpServer でオープン通信スキームを検出しました。
CWE-319 オープン・ソケット通信を検出しました。
CWE-319 Uri があるオープン通信スキームを検出しました。
CWE-79 DART コードで安全ではないウィンドウのオープンが行われています。
CWE-319 ストリングでオープン通信スキームを検出しました。
CWE-79 安全でないコンテンツ・セキュリティー・ポリシー・キーワードが見つかりました。
CWE-328 検出結果をより選択的に表示して、明らかにノイズである検出結果を回避します。
CWE-319 ノイズの多い検出結果を回避するための調整。
Docker CWE-770 サービス拒否 (DoS) 攻撃防止のために CPU を制限します。
CWE-770 サービス拒否 (DoS) 攻撃防止のために失敗時の再起動回数を制限します。
移動 CWE-489 HTTP 用のデバッグ・パッケージ pprof を検出しました。
CWE-1004 Golang コードに安全でない http.Cookie が含まれています。
CWE-319 Golang コードでオープン通信スキームを検出しました。
Groovy CWE-319 Groovy コードでオープン通信スキームを検出しました。
CWE-79 Groovy ソース・コードで検出された潜在的なクロスサイト・スクリプティング脆弱性。
Java CWE-489 Web セキュリティーでデバッグを有効にすると、Spring のデータが表示されます。
CWE-1390 SAML のコメントを無視すると、認証に失敗します。
CWE-548 Tomcat 構成のデフォルト・サーブレットのディレクトリー一覧が安全ではありません。
CWE-276 Java で安全ではないファイル許可の使用を検出しました。
CWE-489 Java コードでプリント・スタック・トレースを検出しました。
CWE-489 Android アプリケーションでデバッグ可能フラグが true に設定されています。
CWE-1188 Android コードで不適切な共用プリファレンス・モードを検出しました。
JavaScript CWE-359 安全ではないイベント送信ポリシー: コンテキストを訂正。2
CWE-79 jQuery.append で XSS の潜在的な脆弱性を検出しました。現在、パフォーマンスが向上しました。2
CWE-79 Mustache のエスケープ・メソッドをオーバーライドするのは危険です。
CWE-319 安全ではないイベント送信ポリシー。
CWE-200 window.postMessage 呼び出しに、危険なターゲット・オリジン・チェックに対するチェックを追加しました。
CWE-913 ノイズの多い検出結果を回避するための修正。
Java ソース・コード・スキャナー CWE-918 RestTemplate().exchange 呼び出しで SSRF を探しています。
CWE-303 NoOpPasswordEncoder.getInstance の危険な呼び出しを探しています。
CWE-89 SQLi の追加ケースを探索。
CWE-22 パス・トラバーサルの問題が発生する可能性がある箇所をさらに探索。
CWE-798 HashMap.put の呼び出しおよびセッターでハードコードされた資格情報を探しています。
Jquery CWE-79 ノイズの多い検出結果を回避するための修正。
Kotlin CWE-319 Kotlin コードでオープン通信を検出。
NodeJS CWE-614 Cookie にセキュリティー・フラグがないか、フラグにセキュアではない値が設定されています。
CWE-328 暗号の createCipheriv に安全ではないアルゴリズムが使用されています。
CWE-295 node-curl を使用不可にするための SSL 証明書を検証する安全でない設定。
CWE-78 Exec シェル生成を検出。
CWE-1004 欠落している HTTPOnly cookie 属性の安全でない設定。
Objective-C CWE-319 Objective-C コードでオープン通信スキームを検出。
CWE-798 ノイズの多い検出結果をさらに回避する修正。
PHP CWE-10041 HttpOnly フラグのない機密 Cookie。
CWE-6141 secure 属性のない HTTPS セッションの機密 Cookie。
CWE-791 組み込み PHP 変数を検出。
CWE-981 PHP コードで潜在的なファイル・インクルージョン脆弱性を検出。
CWE-6111 PHP コードで潜在的な XML 外部エンティティー・インジェクションを検出。
CWE-78 ユーザー提供データを使用する可能性のある PHP コマンドの実行。カバー範囲を拡大。2
CWE-644 潜在的なヘッダー・インジェクションを検出。カバー範囲を拡大。2
CWE-327 安全でないアルゴリズムの使用を検出。チェックおよび対象範囲の拡大。2
CWE-319 PHP Symfony フレームワークでオープン通信を検出。
CWE-1004 setcookie の HTTPOnly フラグがないか、安全でない。
CWE-319 オープン通信スキームを検出しました。
CWE-544 error_reporting ディレクティブがエラー・レポートの可能な最高レベルを許可するように設定されていない。
CWE-798 値をチェックして、コードにプレーン・テキストで格納されているパスワードであると思われる文字列リテラルであるかどうかを確認します。
PL/SQL CWE-331 DBMS_RANDOM の安全でない使用。
Python CWE-311 http を使用する URL です。範囲の拡大。2
CWE-311 一時ファイルの TOCTTOU 競合状態。範囲の固定。2
CWE-367 一時ファイルの TOCTTOU 競合状態。
CWE-319 http を使用する URL です。
CWE-78 Python OS インジェクション。
CWE-319 セキュアではない FTP の使用。
CWE-78 Popen コマンド・インジェクション。
CWE-276 777 を umask とともに使用。
ReactNative CWE-319 オープン通信を検出。コンテキストを訂正しました。2
CWE-319 オープン通信を検出。
CWE-295 SSL Pinning の無効化を検出。
RPG CWE-319 コードでオープン通信を検出。
Ruby CWE-78 バックティック正規表現の安全でない使用は改善が必要です。カバー範囲を拡大。2
CWE-78 バックティックの安全でない使用。カバー範囲を拡大。2
CWE-425 Ruby の一括割り当て。
CWE-359 Ruby の情報開示。
Scala CWE-319 Scala コードでオープン通信スキームを検出しました。
CWE-79 Cookie アクセス経由の潜在的なクライアント・サイド・スクリプティング脆弱性を Scala ソース・コードで検出しました。
シークレット CWE-1051 ハードコードされた IP アドレスを検出。カバー範囲を拡大。2
CWE-798 ハードコードされた資格情報を検出。カバー範囲を拡大。2
CWE-798 最小化された JS ファイルを回避。
CWE-798 翻訳ファイルの分析を回避してノイズを削減します。
Swift CWE-319 Swift コードでオープン通信スキームを検出しました。
CWE-79 iOS UIWebView で loadRequest() を使用するときに潜在的なクロスサイト・スクリプティング脆弱性。
Terraform CWE-359 ユーザー・データ・シークレットを公開する AWS インスタンスを検出。
CWE-778 Azure ログ監視プロファイルでは、すべての必須カテゴリーを定義することが必要。
CWE-732 デフォルトのサービス・アカウントが、フォルダー、プロジェクト、または組織レベルで使用されています。
CWE-671 E メール・サービスと共同管理者が SQL サーバーで有効になっていません。
CWE-923 Azure ストレージ・アカウントのデフォルト・ネット・ワーク・アクセスが「拒否」に設定されるようにします。
CWE-923 GCP ファイアウォール・ルールでアクセスを無制限に許可しないようにします。
CWE-732 Google Compute インスタンスがパブリックにアクセス可能です。
CWE-732 Google ストレージ・バケットがパブリックにアクセス可能です。
CWE-732 Amazon S3 バケットの安全ではないアクセス許可。
CWE-1220 出力セキュリティー・グループの cidr_blocks が過度に許可されているかどうかをチェックする新しいルールです。
TypeScript CWE-943 TypeScript ファイル内の NoSQL MongoDB インジェクションを検出します。
CWE-943 SQLi の追加ケースを検出します。
Visual Basic CWE-319 VB コードで検出されたオープン通信スキーム。
VueJS CWE-79 メソッド宣言で見つかった場合に、検出結果が生成されないように変更しました。
Xamarin CWE-319 Xamarin でオープン通信を検出。