LDAP enjeksiyonu (ARCH3107)

Anahtar typescript.security.ldap-injection · Önem error · Kategori security · CWE CWE-90

LDAP arama filtrelerini kaçışsız kullanıcı girdisinden oluşturmak, filtre manipülasyonuna ve kimlik doğrulama atlatmaya olanak tanır. Filtre değerlerini her zaman kaçışlayın.

Hatalı

const filter = `(uid=${req.body.username})`;
client.search("ou=users,dc=example,dc=com", { filter }, cb);

Doğru

import { filters } from "ldap-escape";

const filter = filters`(uid=${req.body.username})`;
client.search("ou=users,dc=example,dc=com", { filter }, cb);

Düzeltme

Filtreye giren kullanıcı değerlerini bir LDAP kaçış kütüphanesiyle sterilize edin; string birleştirme yapmayın.