XPath enjeksiyonu (ARCH6108)

Anahtar ruby.security.xpath-injection · Önem error · Kategori security · CWE CWE-643

XPath ifadesini güvenilmeyen girdiyle birleştirmek, saldırganın sorguyu değiştirip yetkisiz veriye erişmesine veya kimlik doğrulamayı atlatmasına olanak tanır.

Hatalı

def find(user)
  doc.xpath("//user[name='#{user}']")
end

Doğru

def find(user)
  doc.xpath("//user[name=$name]", nil, name: user)
end

Düzeltme

Girdiyi XPath’e gömmeyin; değişken bağlama (xpath parametreleri) kullanın.