CWE-94: Improper Control of Generation of Code ('Code Injection')

The product constructs all or part of a code segment using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the syntax or behavior of the intended code segment.

Mô tả chi tiết

Đặc điểm

Tác động thường gặp

• Kiểm soát truy cập

  Vượt qua cơ chế bảo vệ

• Kiểm soát truy cập

  Chiếm đặc quyền hoặc mạo danh

• Tính toàn vẹn, Tính bí mật, Tính sẵn sàng

  Thực thi mã hoặc lệnh trái phép

• Chống chối bỏ

  Che giấu hoạt động

Biện pháp giảm thiểu

• Kiến trúc và thiết kế · Tái cấu trúc
• Kiến trúc và thiết kế
• Hiện thực hóa · Kiểm tra dữ liệu đầu vào
• Kiểm thử
• Vận hành · Gia cố quá trình biên dịch hoặc xây dựng
• Vận hành · Gia cố môi trường
• Hiện thực hóaHiệu quả: Thực hành phổ biến không được khuyến nghị

Phương pháp phát hiện

• Phân tích tĩnh tự độngHiệu quả: Cao

Lỗ hổng điển hình

Nguồn và tài liệu tham khảo

• MITRE CWE
• CWE Terms of Use

CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.