js-ts.x-frame-options-misconfiguration

返回列表 · CWE 索引

js-tsWARNING规则详情

各语言消息对照

语言消息
de

Steuern Benutzereingaben den Header `X-Frame-Options`, besteht das Risiko, dass die Software nicht ordentlich prüft, ob ein Browser eine Seite in einem `iframe` rendern darf.

en

By letting user input control `X-Frame-Options` header, there is a risk that software does not properly verify whether or not a browser should be allowed to render a page in an `iframe`.

fr

Laisser l'entrée utilisateur contrôler l'en-tête `X-Frame-Options` fait courir le risque que le logiciel ne vérifie pas correctement si le navigateur est autorisé à rendre la page dans un `iframe`.

ja

ユーザー入力が `X-Frame-Options` レスポンスヘッダーを制御できるようにすると、ブラウザーが `iframe` 内へのページの描画を許可するかどうかをソフトウェアが正しく判定できなくなる可能性があります。

ko

사용자 입력이 `X-Frame-Options` 응답 헤더를 제어하면 소프트웨어가 브라우저가 `iframe` 안에서 페이지를 렌더링해도 되는지 올바르게 판단하지 못할 수 있습니다.

ru

Если пользовательский ввод управляет заголовком `X-Frame-Options`, ПО может не проверить должным образом, разрешать ли браузеру отображать страницу в `iframe`.

zh

让用户输入控制 `X-Frame-Options` 响应头,软件可能无法正确判断浏览器是否允许在 `iframe` 中渲染页面。

zh-Hant

讓使用者輸入控制 `X-Frame-Options` 回應標頭,軟體可能無法正確判斷瀏覽器是否允許在 `iframe` 中渲染頁面。

CWE 知识卡

语言名称修复建议
deVerzerrte Darstellung kritischer Informationen in der OberflächeDie Darstellung kritischer Informationen (Preise, Rechte, Zustände) soll nicht von clientseitig kontrollierbaren Feldern abhängen; bestätigen Sie serverseitig und schützen Sie vor Verwechslung.
en——
frReprésentation trompeuse d'informations critiques dans l'interface utilisateurL'affichage des informations critiques (prix, permissions, états) ne doit pas dépendre de champs contrôlables par le client ; confirmez côté serveur si nécessaire et concevez contre la confusion.
ja重要情報のUI誤表示重要情報(価格・権限・状態)の表示はクライアント側で操作可能なフィールドに依存せず、必要に応じてサーバー側での確認と紛らわしさ防止の設計を行います。
ko중요 정보의 UI 오표시중요 정보(가격·권한·상태)의 표시는 클라이언트에서 조작 가능한 필드에 의존하지 않게 하고, 필요한 경우 서버 측 확인과 혼동 방지 설계를 수행하십시오.
ruИскажение отображения критичной информации в интерфейсеОтображение критичных сведений (цены, права, статус) не должно зависеть от управляемых клиентом полей; при необходимости добавляйте подтверждение на сервере и защиту от подмены.
zh关键信息界面呈现失真关键信息(价格、权限、状态)的展示不依赖客户端可控字段,必要时做服务端确认与防混淆设计。
zh-Hant關鍵資訊介面呈現失真關鍵資訊(價格、權限、狀態)的展示不依賴用戶端可控欄位,必要時做伺服器端確認與防混淆設計。

OWASP

A04:2021 - Insecure Design

元数据

likelihoodMEDIUM
impactMEDIUM
confidenceMEDIUM

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/javascript/express/security/x-frame-options-misconfiguration.yaml