CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection')

The product receives input from an upstream component, but it does not neutralize or incorrectly neutralizes code syntax before using the input in a dynamic evaluation call (e.g. "eval").

Mô tả chi tiết

Đặc điểm

Tác động thường gặp

• Tính bí mật

  Đọc tệp hoặc thư mục, Đọc dữ liệu ứng dụng

• Kiểm soát truy cập

  Vượt qua cơ chế bảo vệ

• Kiểm soát truy cập

  Chiếm đặc quyền hoặc mạo danh

• Tính toàn vẹn, Tính bí mật, Tính sẵn sàng, Khác

  Thực thi mã hoặc lệnh trái phép

• Chống chối bỏ

  Che giấu hoạt động

Biện pháp giảm thiểu

• Kiến trúc và thiết kế, Hiện thực hóa · Tái cấu trúc
• Hiện thực hóa · Kiểm tra dữ liệu đầu vào
• Hiện thực hóa
• Hiện thực hóaHiệu quả: Thực hành phổ biến không được khuyến nghị

Phương pháp phát hiện

• Phân tích tĩnh tự độngHiệu quả: Cao

Lỗ hổng điển hình

Nguồn và tài liệu tham khảo

• MITRE CWE
• CWE Terms of Use

CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.