js-ts.vm-runincontext-injection

返回列表 · CWE 索引

js-tsERROR规则详情

各语言消息对照

语言消息
de

Das Modul `vm` ermöglicht das Kompilieren und Ausführen von Code in V8-VM-Kontexten. Das Modul `vm` ist kein Sicherheitsmechanismus; verwenden Sie es nicht, um nicht vertrauenswürdigen Code auszuführen. Hängt der an `vm`-Funktionen übergebene Code von Benutzereingaben ab, kann eine Command Injection entstehen. Lassen Sie keine Benutzereingaben in `vm`-Funktionen.

en

The `vm` module enables compiling and running code within V8 Virtual Machine contexts. The `vm` module is not a security mechanism. Do not use it to run untrusted code. If code passed to `vm` functions is controlled by user input it could result in command injection. Do not let user input in `vm` functions.

fr

Le module `vm` permet de compiler et d'exécuter du code dans des contextes de machine virtuelle V8, mais ce n'est pas un mécanisme de sécurité : ne l'utilisez pas pour exécuter du code non fiable. Si le code passé aux fonctions `vm` est contrôlé par l'entrée utilisateur, cela peut conduire à une injection de code. Ne laissez pas d'entrées utilisateur entrer dans les fonctions `vm`.

ja

`vm` モジュールは V8 仮想マシンのコンテキスト内でコードをコンパイルして実行できますが、セキュリティ機構ではないため、信頼できないコードの実行に使用しないでください。`vm` 関数に渡すコードがユーザー入力によって制御されている場合、コードインジェクションが発生します。ユーザー入力を `vm` 関数に渡さないでください。

ko

`vm` 모듈은 V8 가상 머신 컨텍스트에서 코드를 컴파일하고 실행할 수 있지만 보안 메커니즘이 아니므로 신뢰할 수 없는 코드를 실행하는 데 사용하지 마십시오. `vm` 함수에 전달되는 코드가 사용자 입력에 의해 제어되면 코드 인젝션이 발생합니다. 사용자 입력이 `vm` 함수에 들어가지 않도록 하십시오.

ru

Модуль `vm` позволяет компилировать и запускать код в контекстах виртуальной машины V8, но он не является механизмом безопасности — не запускайте с его помощью недоверенный код. Если код, передаваемый в функции `vm`, управляется пользовательским вводом, возможна инъекция кода. Не пускайте пользовательский ввод в функции `vm`.

zh

`vm` 模块可在 V8 虚拟机上下文中编译运行代码,但它不是安全机制,不要用它运行不受信任的代码。若传入 `vm` 函数的代码受用户输入控制,会造成代码注入。请不要让用户输入进入 `vm` 函数。

zh-Hant

`vm` 模組可在 V8 虛擬機器環境中編譯執行程式碼,但它不是安全機制,不要用它執行不受信任的程式碼。若傳入 `vm` 函式的程式碼受使用者輸入控制,會造成程式碼注入。請不要讓使用者輸入進入 `vm` 函式。

CWE 知识卡

语言名称修复建议
deCode-InjectionFügen Sie nicht vertrauenswürdige Eingaben nicht in dynamisch ausgeführten Code ein; verwenden Sie datengetriebene Konfigurationen oder Tabellenlogik statt Codegenerierung.
en——
frContrôle inapproprié de la génération de code (injection de code)Interdisez de concaténer des entrées non fiables dans du code exécuté dynamiquement ; remplacez la génération de code par des configurations pilotées par les données ou de la logique par table de correspondance.
jaコードインジェクション信頼できない入力を動的に実行されるコードに連結しないでください。コード生成の代わりに、データ駆動の設定やテーブル参照ロジックを使用してください。
ko코드 인젝션신뢰할 수 없는 입력을 동적으로 실행되는 코드에 삽입하지 마십시오. 코드 생성 대신 데이터 기반 설정 또는 룩업 테이블 로직을 사용하십시오.
ruИнъекция кодаЗапрещено встраивать недоверенный ввод в динамически исполняемый код; используйте конфигурацию на основе данных или табличную логику вместо генерации кода.
zh代码注入禁止将不可信输入拼入动态执行的代码;用数据驱动的配置或查表逻辑替代代码生成。
zh-Hant程式碼注入禁止將不可信輸入拼入動態執行的程式碼;用資料驅動的設定或查表邏輯替代程式碼生成。

OWASP

A03:2021 - Injection

元数据

likelihoodMEDIUM
impactMEDIUM
confidenceMEDIUM

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/javascript/aws-lambda/security/vm-runincontext-injection.yaml