CWE一覧に戻る
CWE-914

動的に識別される変数の不適切な制御

Improper Control of Dynamically-Identified Variables
脆弱性 作成中
JA

この製品は、動的に識別される変数からの読み取りまたは変数への書き込みを適切に制限していません。

多くの言語は、プログラマーが入力文字列で指定された任意の変数にアクセスできる強力な機能を提供している。このような機能は、大きな柔軟性を提供し、開発時間を短縮することができますが、攻撃者が意図しない変数を変更し、セキュリティに影響を与えることができれば、非常に危険です。

EN

The product does not properly restrict reading from or writing to dynamically-identified variables.

Many languages offer powerful features that allow the programmer to access arbitrary variables that are specified by an input string. While these features can offer significant flexibility and reduce development time, they can be extremely dangerous if attackers can modify unintended variables that have security implications.

Scope: Integrity / Impact: Modify Application Data
Scope: Integrity / Impact: Execute Unauthorized Code or Commands
Scope: Other, Integrity / Impact: Varies by Context; Alter Execution Logic
For any externally-influenced input, check the input against an allowlist of internal program variables that are allowed to be modified.
Refactor the code so that internal program variables do not need to be dynamically identified.
MITRE公式ページ — CWE-914