Sunucu taraflı istek sahteciliği (ARCH8104)

Anahtar kotlin.security.ssrf · Önem warning · Kategori security · CWE CWE-918

Hedefi request veya parametre verisinden gelen dış istekleri (URL(...), HttpUrl.parse, OkHttp Request.Builder().url) işaretler.

Hatalı

val target = URL(request.getParameter("url"))
target.openStream()

Doğru

val target = URL(request.getParameter("url"))
require(target.host in allowedHosts)

Düzeltme

Sunucuları izin listesine alın, loopback ve link-local adresleri reddedin, bağlanmadan önce çözümleyin.