X Path注入

描述：X Path注射

当将用户控制数据以不安全方式合并到XPath查询中时，就会出现XPath注入漏洞。攻击者可以提供精心设计的输入，以突破其输入出现的数据上下文并干扰周围查询的结构。

根据使用脆弱查询的目的，攻击者可能能够利用XPath注入缺陷来读取敏感的应用程序数据或干扰应用程序逻辑。

修复：XPath注射

在将用户输入合并到XPath查询中之前，应严格验证。在大多数情况下，接受仅包含短字母数字字符串的输入是适当的。至少，应拒绝包含任何XPATH元关节的输入，例如“' / @ = * []（和）。

参考

• beplay体育能用吗网络安全学院：客户端XPath注入（基于DOM）

脆弱性分类

• CWE-94：不当控制代码（“代码注入”）
• CWE-116：输出的编码不当或逃脱
• CWE-159：未能消毒特殊元素
• CWE-643：XPath表达式中数据中和不当（'XPath注入'）
• CAPEC-83：XPATH注射

典型的严重程度

高的

类型索引（HEX）

0x00100600

类型索引（十进制）

1050112