检测

操作系统命令注入

critical Web App Scanning 插件 ID 98123

语言：

简介

操作系统命令注入

描述

当用户提供的输入用于构建由操作系统执行的命令时，会发生 OS 命令注入。

扫描程序能够注入特定的操作系统命令，并将该命令的输出包含在服务器响应中。这表示输入未经正确审查。

解决方案

建议切勿使用不受信任的数据形成要由操作系统执行的命令。
为了验证数据，应用程序应确保提供的值仅包含执行必要操作所需的字符。

另见

http://projects.webappsec.org/w/page/13246950/OS%20Commanding

https://cheatsheetseries.owasp.org/cheatsheets/OS_Command_Injection_Defense_Cheat_Sheet.html

插件详情

严重性: Critical

ID: 98123

类型: remote

发布时间: 2017/3/31

最近更新时间: 2024/2/2

扫描模板: api, full, pci, scan

风险信息

VPR

风险因素: High

分数: 8.4

CVSS v2

风险因素: Critical

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: Tenable

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS 分数来源: Tenable

参考资料信息