CWE一覧に戻る
CWE-57

パスの等価性:'fakedir/../realdir/ファイル名'

Path Equivalence: 'fakedir/../realdir/filename'
脆弱性 作成中
JA

本製品には、'realdir/filename' へのアクセスを制限する保護メカニズムが含まれているが、これらのメカニズムでは処理されない 'fakedir/../realdir/filename' 形式の外部入力を使用してパス名を構築する。これにより、攻撃者は対象となるファイルに対して不正なアクションを実行することができる。

EN

The product contains protection mechanisms to restrict access to 'realdir/filename', but it constructs pathnames using external input in the form of 'fakedir/../realdir/filename' that are not handled by those mechanisms. This allows attackers to perform unauthorized actions against the targeted file.

Scope: Confidentiality, Integrity / Impact: Read Files or Directories; Modify Files or Directories
Inputs should be decoded and canonicalized to the application's current internal representation before being validated (CWE-180). Make sure that the application does not decode the same input twice (CWE-174). Such errors could be used to bypass allowlist validation schemes by introducing dangerous inputs after they have been checked.
MITRE公式ページ — CWE-57