CWE一覧に戻る
CWE-219

機密データを含むファイルのWebルート下での保存について

Storage of File with Sensitive Data Under Web Root
脆弱性 レビュー中
JA

この製品は、アクセス制御が不十分なまま機密データをウェブ文書のルート下に保存しているため、信頼できない関係者がアクセスできる可能性がある。

一般に公開されるウェブページやコードの他に、製品は機密データ、直接呼び出されないコード、その他のファイルをウェブサーバのウェブドキュメントルートの下に保存することがあります。 サーバーがこれらのファイルへの直接アクセスを防ぐように設定されていない場合、またはその他の方法で使用されていない場合、攻撃者はこれらの機密データを取得する可能性があります。

EN

The product stores sensitive data under the web document root with insufficient access control, which might make it accessible to untrusted parties.

Besides public-facing web pages and code, products may store sensitive data, code that is not directly invoked, or other files under the web document root of the web server. If the server is not configured or otherwise used to prevent direct access to those files, then attackers may obtain this sensitive data.

Scope: Confidentiality / Impact: Read Application Data
Avoid storing information under the web root directory.
Access control permissions should be set to prevent reading/writing of sensitive files inside/outside of the web directory.
MITRE公式ページ — CWE-219