LDAP Enjeksiyonu (ARCH6107)

Anahtar ruby.security.ldap-injection · Önem error · Kategori security · CWE CWE-90

LDAP filtrelerini kaçışsız kullanıcı girdisiyle oluşturmak, filtre manipülasyonuna ve kimlik doğrulama atlatmaya olanak tanır. Filtre değerlerini her zaman kaçış ile işleyin.

Hatalı

require "net/ldap"

filter = Net::LDAP::Filter.construct("(uid=#{params[:user]})")
ldap.search(filter: filter)

Doğru

require "net/ldap"

filter = Net::LDAP::Filter.eq("uid", params[:user])
ldap.search(filter: filter)

Düzeltme

Dize birleştirme yerine Net::LDAP::Filter.eq gibi parametreli filtre oluşturucuları kullanın.