界: Environment

このセクションには、ソースコード以外のものでも、作成中の製品のセキュリティにとって重要なものがすべて含まれています。この分野が対象とする問題は、ソースコードに直接関係しないため、この分野の他の部分と分けました。

Struts Misconfiguration: Missing Form Bean

Java/JSP

Abstract

存在しない form-bean を参照する Struts の action は、正しくマップされません。

Explanation

Struts は、form-bean エントリを使用して HTML フォームをアクションにマップします。<action> タグの name 属性が form-bean の名前に対応していない場合、アクションをマッピングできず、不適切な定義または誤植を示します。

例 1: 次の設定は、bean2 のマッピングを含みません。


<form-beans>
  <form-bean name="bean1" type="coreservlets.UserFormBean" />
</form-beans>

<action-mappings>
  <action path="/actions/register1" type="coreservlets.RegisterAction1" name="bean1" scope="request" />
  <action path="/actions/register2" type="coreservlets.RegisterAction2" name="bean2" scope="request" />
</action-mappings>

References

[1] Apache Struts 1.3 Specification

[2] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[3] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[4] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[5] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[6] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 3.6 - Sensitive Data Retention

[7] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 3.6 - Sensitive Data Retention

[8] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 3.6 - Sensitive Data Retention

desc.config.java.struts_misconfiguration_missing_form_bean