Dinamik kod çalıştırma (ARCH8131)

Anahtar kotlin.security.dynamic-code-execution · Önem critical · Kategori security · CWE CWE-95

İstek verisinden kurulmuş betikle ScriptEngine.eval / Groovy shell evaluate çağrılarını işaretler.

Hatalı

engine.eval(req.getParameter("expr"))

Doğru

val allowed = mapOf("sum" to ::sum)
allowed[req.getParameter("op")]?.invoke(args)

Düzeltme

Kullanıcı girdisini asla kod olarak değerlendirmeyin; istekleri sabit bir işlem kümesine eşleyin.