CWE一覧に戻る
CWE-102

Strutsバリデーションフォームの重複

Struts: Duplicate Validation Forms
脆弱性 作成中
JA

この製品は同じ名前の複数の検証フォームを使用しているため、Struts Validatorがプログラマが予期していないフォームを検証してしまう可能性があります。

2つのバリデーションフォームが同じ名前の場合、Struts Validatorは入力バリデーションに使用するフォームの1つを任意に選択し、もう1つを破棄します。この判断はプログラマの期待にそぐわない可能性があり、結果として弱点につながる可能性があります。さらに、これはバリデーションロジックが最新ではないことを示し、他のもっと微妙なバリデーションエラーが存在することを示す可能性があります。

EN

The product uses multiple validation forms with the same name, which might cause the Struts Validator to validate a form that the programmer does not expect.

If two validation forms have the same name, the Struts Validator arbitrarily chooses one of the forms to use for input validation and discards the other. This decision might not correspond to the programmer's expectations, possibly leading to resultant weaknesses. Moreover, it indicates that the validation logic is not up-to-date, and can indicate that other, more subtle validation errors are present.

Scope: Integrity / Impact: Unexpected State
The DTD or schema validation will not catch the duplicate occurrence of the same form name. To find the issue in the implementation, manual checks or automated static analysis could be applied to the xml configuration files.
MITRE公式ページ — CWE-102