界: Environment

このセクションには、ソースコード以外のものでも、作成中の製品のセキュリティにとって重要なものがすべて含まれています。この分野が対象とする問題は、ソースコードに直接関係しないため、この分野の他の部分と分けました。

Struts Misconfiguration: Missing Action Input

Java/JSP

Abstract

名前付き Struts アクションの input 属性を省略するのは間違いで、検証エラーが返される場合があります。

Explanation

名前付きアクションから検証エラーが返される場合は、Struts の仕様により input 属性が求められます [2]。input 属性は、検証エラーが発生した場合のエラーメッセージの表示に使用するページを指定します。
例 1: 次の設定は、名前付き検証アクションを定義していますが、input 属性は指定していません。


<action-mappings>
  <action   path="/Login"
            type="com.LoginAction"
            name="LoginForm"
            scope="request"
            validate="true" />
</action-mappings>

References

[1] Apache Struts Specification

[2] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[3] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[4] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[5] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[6] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[7] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[8] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[9] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 6.2.4

desc.config.java.struts_misconfiguration_missing_action_input