java.tainted-url-host

Benutzerdaten fließen in den Host-Anteil dieser manuell zusammengesetzten URL. So könnte ein Angreifer Daten an seinen eigenen Server senden und dabei sensible Daten wie Cookies oder mit der Anfrage übertragene Autorisierungsinformationen preisgeben; er könnte auch interne Server oder andere Ressourcen auskundschaften, die der Rechner dieses Codes erreichen kann (Server-Side Request Forgery, SSRF). Erlauben Sie keine beliebigen Hosts, sondern legen Sie eine Allowlist freigegebener Hosts an, verankern Sie den korrekten Host fest oder stellen Sie sicher, dass Benutzerdaten nur Pfad oder Parameter beeinflussen.

User data flows into the host portion of this manually-constructed URL. This could allow an attacker to send data to their own server, potentially exposing sensitive data such as cookies or authorization information sent with this request. They could also probe internal servers or other resources that the server running this code can access. (This is called server-side request forgery, or SSRF.) Do not allow arbitrary hosts. Instead, create an allowlist for approved hosts, hardcode the correct host, or ensure that the user data can only affect the path or parameters.

Des données utilisateur se déversent dans la partie hôte de cette URL construite à la main. Cela permet à un attaquant d'envoyer des données vers son propre serveur, exposant potentiellement des données sensibles comme les cookies ou les informations d'autorisation envoyées avec la requête ; il peut aussi sonder des serveurs internes ou d'autres ressources accessibles au serveur exécutant ce code (on parle de falsification de requête côté serveur, SSRF). N'autorisez pas d'hôte arbitraire : créez une liste blanche des hôtes approuvés, codez en dur l'hôte correct, ou faites en sorte que les données utilisateur n'affectent que le chemin ou les paramètres.

ユーザーデータが手動で組み立てた URL のホスト部分に流れ込んでいます。攻撃者はこれを利用してデータを自分のサーバーへ送信でき、リクエストと共に送られる cookie や認可情報などの機密データが漏えいするほか、このコードが存在するサーバーからアクセスできる内部リソースを探索されるおそれもあります（サーバーサイドリクエストフォージェリ：SSRF）。任意のホストを許可しないでください。承認済みホストのホワイトリストを作成する、正しいホストをハードコードする、またはユーザーデータがパスやパラメーター部分にしか影響しないようにしてください。

사용자 데이터가 수동으로 구성한 URL의 호스트 부분으로 흘러 들어가는 것이 감지되었습니다. 공격자는 이를 악용해 데이터를 자신의 서버로 보내 요청과 함께 전송되는 cookie, 인증 정보 등 민감한 데이터를 유출할 수 있고, 이 코드가 실행되는 서버가 접근할 수 있는 내부 리소스를 탐색할 수도 있습니다(즉, 서버 측 요청 위조 SSRF). 임의의 호스트를 허용하지 마십시오. 승인된 호스트의 허용 목록을 만들거나, 올바른 호스트를 하드코딩하거나, 사용자 데이터가 경로나 파라미터 부분에만 영향을 미치도록 보장하십시오.

Пользовательские данные попадают в часть хоста собранного вручную URL. Злоумышленник сможет отправлять данные на свой сервер, раскрывая чувствительные данные вроде cookie или сведений авторизации, отправляемых с запросом, а также сможет зондировать внутренние серверы и другие ресурсы, доступные машине с этим кодом (это называется SSRF — подделкой серверных запросов). Не разрешайте произвольные хосты: составьте белый список одобренных хостов, жёстко задайте правильный хост или убедитесь, что пользовательские данные могут влиять только на путь или параметры.

用户数据流入了手工构造 URL 的主机部分。攻击者可借此把数据发往自己的服务器，泄露随请求发送的 cookie、授权信息等敏感数据，也可能探测本代码所在服务器能访问的内部资源（即服务端请求伪造 SSRF）。请勿允许任意主机：为批准的主机建白名单、硬编码正确主机，或确保用户数据只能影响路径或参数部分。

使用者資料流入了手工建構 URL 的主機部分。攻擊者可藉此把資料發往自己的伺服器，洩漏隨請求傳送的 cookie、授權資訊等敏感資料，也可能探測本程式碼所在伺服器能存取的內部資源（即伺服器端請求偽造 SSRF）。請勿允許任意主機：為核可的主機建白名單、硬編碼正確主機，或確保使用者資料只能影響路徑或參數部分。