CWE一覧に戻る
CWE-425

直接リクエスト(「強制ブラウジング)

Direct Request ('Forced Browsing')
脆弱性 作成中
JA

ウェブアプリケーションが、すべての制限付きURL、スクリプト、またはファイルに対して適切な権限を適切に付与していない。

直接リクエスト攻撃の影響を受けやすいウェブ・アプリケーションは、そのようなリソースはあるナビゲーション・パスを通してしか到達できないという誤った仮定をすることが多いため、パスの特定のポイントでのみ認可を適用します。

EN

The web application does not adequately enforce appropriate authorization on all restricted URLs, scripts, or files.

Web applications susceptible to direct request attacks often make the false assumption that such resources can only be reached through a given navigation path and so only apply authorization at certain points in the path.

Scope: Confidentiality, Integrity, Availability, Access Control / Impact: Read Application Data; Modify Application Data; Execute Unauthorized Code or Commands; Gain Privileges or Assume Identity
Apply appropriate access control authorizations for each access to all restricted URLs, scripts or files.
Consider using MVC based frameworks such as Struts.
MITRE公式ページ — CWE-425