界: Environment

このセクションには、ソースコード以外のものでも、作成中の製品のセキュリティにとって重要なものがすべて含まれています。この分野が対象とする問題は、ソースコードに直接関係しないため、この分野の他の部分と分けました。

Struts Misconfiguration: Missing Form Property Type

Java/JSP

Abstract

type タイプ属性なしで form-property を定義するのは間違いです。

Explanation

Struts では、<form-property> タグに type 属性を含める必要があります。Struts は、タイプなしで form-property を定義したフォームを処理すると、例外をスローします。

例 1: 次の設定は、name プロパティのタイプを省略しています。


<form-bean name="loginForm" type="org.apache.struts.validator.DynaValidatorForm">
  <form-property name="name" />
  <form-property name="password" type="java.lang.String" />
</form-bean>

References

[1] Apache Struts 1.3 Specification

[2] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[3] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[4] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[5] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

desc.config.java.struts_misconfiguration_missing_form_property_type