js-ts.res-render-injection

Benutzerkontrollierbare Daten `$REQ` gelangen in `$RES.render(...)`. So könnten HTML-/Template-Seiten geladen werden, für deren Rendern die Person nicht berechtigt ist. Ein Angreifer könnte Verzeichniswechsel-Techniken wie `../folder/index` versuchen, um andere HTML-Seiten im Dateisystem zu erreichen. Lassen Sie nach Möglichkeit nicht zu, dass Benutzer bestimmen, was $RES.render lädt, oder arbeiten Sie mit einer Allowlist der vorhandenen Anwendung.

User controllable data `$REQ` enters `$RES.render(...)` this can lead to the loading of other HTML/templating pages that they may not be authorized to render. An attacker may attempt to use directory traversal techniques e.g. `../folder/index` to access other HTML pages on the file system. Where possible, do not allow users to define what should be loaded in $RES.render or use an allow list for the existing application.

Des données contrôlables par l'utilisateur `$REQ` entrent dans `$RES.render(...)`, ce qui peut permettre de charger d'autres pages HTML/templates que l'utilisateur n'a pas le droit de rendre. Un attaquant peut tenter une traversée de répertoires (par exemple `../folder/index`) pour accéder à d'autres pages HTML du système de fichiers. Dans la mesure du possible, n'autorisez pas les utilisateurs à définir ce que `$RES.render` charge, ou appliquez une liste blanche pour l'application existante.

ユーザーが制御可能なデータ `$REQ` が `$RES.render(...)` に流れ込むと、本来はレンダリング権限のない他の HTML/テンプレートページを読み込んでしまうおそれがあります。攻撃者はディレクトリトラバーサル（例：`../folder/index`）を使ってファイルシステム上の他のページへのアクセスを試みる可能性があります。可能な限り、$RES.render が読み込む内容をユーザーに定義させないようにするか、既存のアプリケーションにはホワイトリストを使用してください。

사용자가 제어할 수 있는 데이터 `$REQ`가 `$RES.render(...)`에 유입되면 본래 렌더링 권한이 없는 다른 HTML/템플릿 페이지가 로드될 수 있습니다. 공격자는 디렉터리 횡단(예: `../folder/index`)로 파일 시스템의 다른 페이지에 접근을 시도할 수 있습니다. 가급적 사용자가 $RES.render가 로드할 대상을 정의하지 못하게 하거나, 기존 애플리케이션에는 허용 목록을 사용하십시오.

Управляемые пользователем данные `$REQ` попадают в `$RES.render(...)` — это может привести к загрузке страниц HTML/шаблонов, которые пользователь не вправе отображать. Злоумышленник может применить обход каталогов, например `../folder/index`, чтобы добраться до других страниц в файловой системе. По возможности не позволяйте пользователям определять, что загружает $RES.render, либо используйте белый список для существующего приложения.

用户可控数据 `$REQ` 进入 `$RES.render(...)`，可能导致加载其本无权渲染的其他 HTML/模板页面。攻击者可尝试用目录穿越（如 `../folder/index`）访问文件系统上的其他页面。请尽量不允许用户定义 $RES.render 加载什么，或对现有应用使用白名单。

使用者可控資料 `$REQ` 進入 `$RES.render(...)`，可能導致載入其本無權渲染的其他 HTML/範本頁面。攻擊者可嘗試用目錄穿越（如 `../folder/index`）存取檔案系統上的其他頁面。請儘量不允許使用者定義 $RES.render 載入什麼，或對現有應用使用白名單。