Dinamik metot çağrısı (ARCH8132)

Anahtar kotlin.security.dynamic-method-dispatch · Önem warning · Kategori security · CWE CWE-470

İstek verisiyle yönlendirilen Class.forName / getMethod / invoke kullanımını işaretler.

Hatalı

Class.forName(req.getParameter("cls")).getMethod("run").invoke(null)

Doğru

val handler = handlers[req.getParameter("cls")] ?: throw NotFound()

Düzeltme

Adı açık bir izin listesi haritasında arayın.