检测

数据库连接字符串泄露

high Web App Scanning 插件 ID 114276

语言：

简介

数据库连接字符串泄露

描述

大部分 Web 应用程序依赖于数据库，以向用户提供多种功能。在安全设计中，使用这些私有或云数据库需要身份验证，例如基于用户名和密码的凭据。

开发人员有时会在其应用程序的多个位置对此类数据进行硬编码，而没有意识到这些数据可能会在客户端 JavaScript 或 HTML 注释（例如）中公开提供。通过利用这些敏感信息，未经身份验证的远程攻击者可获取 Web 应用程序和组织所使用的关键服务的访问特权。

解决方案

通过确定问题的根本原因（例如代码中的手动数据插入、前端 JavaScript 中捆绑的环境变量）消除数据库连接字符串泄露漏洞。轮换密码以避免进一步重用，以防之前已被恶意执行者检索。

另见

https://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/01-Information_Gathering/05-Review_Web_Page_Content_for_Information_Leakage

插件详情

严重性: High

ID: 114276

类型: remote

发布时间: 2024/5/6

最近更新时间: 2024/5/6

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 5.5

CVSS v2

风险因素: High

基本分数: 7.8

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: High

基本分数: 8.6

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

CVSS 分数来源: Tenable

参考资料信息