Định nghĩa chính thức

Đặc điểm

Dữ liệu MITRE CWE chính thức

Dữ liệu MITRE CWE chính thức

Tác động	Phạm vi	Diễn giải
Đọc dữ liệu ứng dụng	Tính bí mật	An attacker could insert an expression that references private data, which is then included in the output.
Thực thi mã hoặc lệnh trái phép	Tính toàn vẹn	An attacker could execute arbitrary expressions.

Dữ liệu MITRE CWE chính thức

Kiến trúc và thiết kếAvoid adding user-controlled data into an expression interpreter when possible.
Hiện thực hóaIf user-controlled data must be added to an expression interpreter, one or more of the following should be performed: - Validate that the user input will not evaluate as an expression - Encode the user input in a way that ensures it is not evaluated as an expression
Cấu hình hệ thống, Vận hànhThe framework or tooling might allow the developer to disable or deactivate the processing of EL expressions, such as setting the isELIgnored attribute for a JSP page to "true".

Dữ liệu MITRE CWE chính thức

Phương pháp	Cách làm	Hiệu quả
Phân tích tĩnh tự động	Automated static analysis, commonly referred to as Static Application Security Testing (SAST), can find some instances of this weakness by analyzing source code (or binary/compiled code) without having to execute it. Typically, this is done by building a model of data flow and control flow, then searching for potentially-vulnerable patterns that connect "sources" (origins of input) with "sinks" (destinations where the data interacts with external components, a lower layer such as the OS, etc.)	Cao

Dữ liệu MITRE CWE chính thức

Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-917, dựa theo mức độ ưu tiên

Nguồn (2)