js-ts.detect-eval-with-expression

返回列表 · CWE 索引

js-tsWARNING规则详情

各语言消息对照

语言消息
de

Die dynamische Ausführung von JavaScript wurde erkannt, die aus Benutzereingaben stammen kann – ein Weg zu Cross-Site-Scripting (XSS). Vermeiden Sie nach Möglichkeit, Benutzereingaben in Funktionen einzubinden, die Benutzereingaben dynamisch ausführen.

en

Detected use of dynamic execution of JavaScript which may come from user-input, which can lead to Cross-Site-Scripting (XSS). Where possible avoid including user-input in functions which dynamically execute user-input.

fr

L'exécution dynamique de JavaScript, potentiellement issue d'une entrée utilisateur, a été détectée ; elle peut conduire à du script intersite (XSS). Dans la mesure du possible, n'incluez pas d'entrées utilisateur dans les fonctions qui les exécutent dynamiquement.

ja

ユーザー入力に由来する可能性のある JavaScript が動的に実行されていることが検出されました。クロスサイトスクリプティング(XSS)につながる可能性があります。入力を動的に実行する関数にユーザー入力を含めることは、できる限り避けてください。

ko

사용자 입력에서 비롯되었을 가능성이 있는 JavaScript가 동적으로 실행되는 것이 감지되었으며, 크로스 사이트 스크립팅(XSS)으로 이어질 수 있습니다. 가급적 입력을 동적으로 실행하는 함수에 사용자 입력을 포함하지 마십시오.

ru

Обнаружено динамическое выполнение JavaScript, которое может исходить от пользователя и привести к межсайтовому скриптингу (XSS). По возможности не включайте пользовательский ввод в функции, динамически исполняющие его.

zh

检测到动态执行可能来自用户输入的 JavaScript,可导致跨站脚本(XSS)。请尽量避免在动态执行输入的函数中包含用户输入。

zh-Hant

檢測到動態執行可能來自使用者輸入的 JavaScript,可導致跨站指令碼(XSS)。請儘量避免在動態執行輸入的函式中包含使用者輸入。

CWE 知识卡

语言名称修复建议
deEval-InjectionVerwenden Sie eval()/exec() und ähnliche dynamische Auswertung nicht für nicht vertrauenswürdige Eingaben; nutzen Sie Parser oder Tabellenlogik.
en——
frNeutralisation inappropriée de directives dans du code évalué dynamiquement (injection eval)Interdisez l'évaluation dynamique de type eval()/exec() sur des entrées non fiables ; utilisez un analyseur ou une table de correspondance.
jaEval インジェクション信頼できない入力に対する eval()/exec() などの動的評価は使用せず、パーサーやテーブル参照に置き換えてください。
koEval 인젝션신뢰할 수 없는 입력에 대해 eval()/exec() 류의 동적 평가를 사용하지 마십시오. 파서 또는 룩업 테이블로 대체하십시오.
ruEval-инъекцияЗапрещено динамическое вычисление недоверенного ввода через eval()/exec() — используйте парсер или табличную логику.
zhEval 注入禁止对不可信输入使用 eval()/exec() 类动态求值,改用解析器或查表。
zh-HantEval 注入禁止對不可信輸入使用 eval()/exec() 類動態求值,改用解析器或查表。

OWASP

A03:2021 - Injection

元数据

likelihoodMEDIUM
impactMEDIUM
confidenceMEDIUM

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/javascript/lang/security/detect-eval-with-expression.yaml