python.extends-custom-expression

返回列表 · CWE 索引

pythonWARNING规则详情

各语言消息对照

语言消息
de

Eine Erweiterung eines Custom Expression wurde gefunden: $CLASS. Ausdrücke so zu erweitern kann versehentlich eine SQL-Injection-Schwachstelle erzeugen, über die Angreifer sensible Daten entwenden könnten. Stellen Sie sicher, dass keine Benutzereingaben in diese Funktion gelangen oder dass Benutzereingaben ordentlich bereinigt werden.

en

Found extension of custom expression: $CLASS. Extending expressions in this way could inadvertently lead to a SQL injection vulnerability, which can result in attackers exfiltrating sensitive data. Instead, ensure no user input enters this function or that user input is properly sanitized.

fr

L'extension d'une expression personnalisée a été détectée : $CLASS. Étendre les expressions de cette manière peut introduire par inadvertance une vulnérabilité d'injection SQL permettant à des attaquants d'exfiltrer des données sensibles. Assurez-vous qu'aucune entrée utilisateur n'entre dans cette fonction, ou assainissez-la correctement.

ja

カスタム式の拡張が見つかりました:$CLASS。この方法で式を拡張すると、意図せず SQL インジェクションの脆弱性が生じ、機密データが盗まれる恐れがあります。この関数にユーザー入力が入り込まないことを確認するか、ユーザー入力を適切にサニタイズしてください。

ko

사용자 지정 표현식 확장이 발견되었습니다: $CLASS. 이러한 방식으로 표현식을 확장하면 의도치 않게 SQL 인젝션 취약점이 생겨 민감한 데이터가 탈취될 수 있습니다. 사용자 입력이 해당 함수로 들어가지 않도록 보장하거나 사용자 입력을 적절히 정제하십시오.

ru

Обнаружено расширение пользовательского выражения: $CLASS. Такое расширение может нечаянно привести к SQL-инъекции и похищению чувствительных данных. Убедитесь, что в эту функцию не попадает пользовательский ввод, либо надёжно очищайте его.

zh

发现自定义表达式扩展:$CLASS。以这种方式扩展表达式可能无意间引入 SQL 注入漏洞、导致敏感数据被窃取。请确保没有用户输入进入该函数,或对用户输入妥善净化。

zh-Hant

發現自訂運算式擴充:$CLASS。以這種方式擴充運算式可能無意間引入 SQL 注入漏洞、導致敏感資料被竊取。請確保沒有使用者輸入進入該函式,或對使用者輸入妥善淨化。

CWE 知识卡

语言名称修复建议
deSQL-InjectionVerwenden Sie durchgängig parametrisierte Abfragen/Prepared Statements, verketten Sie keine SQL-Strings und schließen Sie beim ORM die Schnittstellen für rohe Verkettung.
en——
frNeutralisation inappropriée des éléments spéciaux dans une commande SQL (injection SQL)Utilisez systématiquement des requêtes paramétrées ou des instructions préparées ; interdisez la concaténation de SQL et fermez les points d'entrée SQL brut de l'ORM.
jaSQL インジェクションすべてパラメーター化クエリ/プリペアドステートメントを使用し、SQL を文字列連結で組み立てないでください。ORM ではネイティブな連結の入り口を無効化してください。
koSQL 인젝션모든 곳에서 매개변수화된 쿼리나 사전 컴파일된 문장을 사용하고, SQL을 문자열로 이어 붙이지 말며, ORM이 SQL을 문자열로 이어 붙이는 네이티브 진입점은 비활성화하십시오.
ruSQL-инъекцияВезде применяйте параметризованные запросы и подготовленные выражения; склейка SQL-строк запрещена, а нативные пути ORM закрывайте.
zhSQL 注入全部使用参数化查询/预编译语句,禁止字符串拼接 SQL,ORM 关闭原生拼接入口。
zh-HantSQL 注入全部使用參數化查詢/預備陳述式,禁止字串串接 SQL,ORM 關閉原生串接入口。

OWASP

A01:2017 - InjectionA03:2021 - Injection

元数据

likelihoodLOW
impactHIGH
confidenceLOW

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/python/django/security/audit/extends-custom-expression.yaml