界: Environment

このセクションには、ソースコード以外のものでも、作成中の製品のセキュリティにとって重要なものがすべて含まれています。この分野が対象とする問題は、ソースコードに直接関係しないため、この分野の他の部分と分けました。

Struts Misconfiguration: Missing Forward Path

Abstract

path 属性がない <forward> タグは、デバッグコードが残っているか、誤植を示していることがよくあります。

Explanation

<forward> タグには、name と path 属性が必要です。パスを省略したり、空白のパスを指定するのは間違いです。また、すべてのパスは "/" 文字で始める必要があります。

例 1: 次の <forward> タグには path 属性がありません。


    <forward name="success" />

References

[1] Apache Struts 1.3 Specification

[2] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[3] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[4] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[5] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[6] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

desc.config.java.struts_misconfiguration_missing_forward_path