계: Environment

이 섹션에는 소스 코드 외부에 있지만 제작 중인 제품의 보안에는 여전히 중요한 내용이 모두 포함되어 있습니다. 이 섹션에서 다루는 문제들은 소스 코드와 직접적으로 관련이 없기 때문에 나머지 섹션과 분리했습니다.

Struts Misconfiguration: Missing Form Bean Name

Java/JSP

Abstract

name 속성이 없는 form-bean은 사용되지 않습니다.

Explanation

Struts는 form-bean 이름을 사용하여 HTML 양식을 작업에 매핑합니다. form-bean에 이름이 없으면 작업에 매핑할 수 없으며 불필요한 정의 또는 실수로 누락된 빈을 나타냅니다.
다음은 적절한 양식 빈에 대한 예제입니다.
예제 1: 다음 form-bean에는 name 속성이 비어 있습니다.


<form-beans>
  <form-bean name="" type="org.apache.struts.validator.DynaValidatorForm">
    <form-property name="name" type="java.lang.String" />
    <form-property name="password" type="java.lang.String" />
  </form-bean>
</form-beans>

References

[1] Apache Struts 1.3 Specification

[2] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[3] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[4] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[5] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

desc.config.java.struts_misconfiguration_missing_form_bean_name