CWE-840: Lỗi logic nghiệp vụ

Các điểm yếu trong danh mục này liên quan đến những sai sót trong cách ứng dụng mô hình hóa hoặc thực thi các quy tắc nghiệp vụ. Khi bị thao túng, logic nghiệp vụ có thể làm thay đổi hành vi mà ứng dụng vốn cho phép, và tác động có thể lan rộng trong toàn bộ ứng dụng. Việc phát hiện tự động thường khó vì hoạt động của kẻ tấn công có thể chỉ sử dụng các chức năng hợp lệ; tuy nhiên, một số lỗi vẫn có thể cho thấy các mẫu tương tự những điểm yếu triển khai hoặc thiết kế đã được hiểu rõ. CWE-840 chỉ dùng để nhóm các điểm yếu liên quan và không tự mô tả một lỗ hổng cụ thể.

Danh mục này bao quát các điểm yếu phát sinh khi logic nghiệp vụ của ứng dụng có những vấn đề mà kẻ tấn công có thể lợi dụng để thao túng cách ứng dụng thực hiện các chức năng hợp lệ. Những lỗi như vậy có thể khó phát hiện tự động vì chúng thường sử dụng chính các chức năng hợp lệ của ứng dụng, dù một số lỗi có thể biểu hiện các mẫu tương tự những điểm yếu về thiết kế hoặc triển khai đã được biết đến. Các thành viên của danh mục gồm CWE-283, CWE-639, CWE-640, CWE-708, CWE-770, CWE-826, CWE-837 và CWE-841.

Hồ sơ chính thức không chỉ định hậu quả cho danh mục này.

Hồ sơ chính thức không chỉ định biện pháp giảm thiểu cho danh mục này.

Hồ sơ chính thức không chỉ định phương pháp phát hiện cho danh mục này.

Hồ sơ chính thức không cung cấp các ví dụ lỗ hổng quan sát được mang tính đại diện cho danh mục này.