python.formathtml-fstring-parameter

返回列表 · CWE 索引

pythonWARNING规则详情

各语言消息对照

语言消息
de

Einen formatierten String als ersten Parameter an `format_html` zu übergeben deaktiviert die ordentliche Kodierung der Variablen. HTML im ersten Parameter wird nicht kodiert; ein formatierter String als erster Parameter verschleiert zudem, welche Parameter kodiert werden. `format_html` korrekt zu verwenden heißt: einen statischen Format-String als ersten Parameter und die zu ersetzenden Variablen als weitere Parameter zu übergeben.

en

Passing a formatted string as first parameter to `format_html` disables the proper encoding of variables. Any HTML in the first parameter is not encoded. Using a formatted string as first parameter obscures which parameters are encoded. Correct use of `format_html` is passing a static format string as first parameter, and the variables to substitute as subsequent parameters.

fr

Passer une chaîne formatée en premier paramètre de `format_html` empêche l'encodage correct des variables : tout HTML présent dans le premier paramètre n'est pas encodé, et cela masque quels paramètres le sont. L'usage correct de `format_html` consiste à passer une chaîne de format statique en premier paramètre et les variables à substituer en paramètres suivants.

ja

フォーマット文字列を `format_html` の第 1 引数として渡すと、変数が正しくエンコードされなくなります——第 1 引数内の HTML は一切エンコードされず、どの引数がエンコードされるのかも分からなくなります。正しい使い方は、第 1 引数に静的なフォーマット文字列を渡し、置き換え対象の変数を後続の引数として渡すことです。

ko

포맷 문자열을 `format_html`의 첫 번째 인수로 사용하면 변수가 올바르게 인코딩되지 않습니다. 첫 번째 인수 안의 HTML은 전혀 인코딩되지 않으며, 어떤 인수가 인코딩되는지도 가려집니다. 올바른 사용법은 첫 번째 인수로 정적 포맷 문자열을 전달하고, 치환할 변수는 후속 인수로 전달하는 것입니다.

ru

Передача форматированной строки первым параметром в `format_html` лишает переменные правильного кодирования: любой HTML в первом параметре не кодируется, а сама запись маскирует, какие параметры кодируются. Правильно передавать в `format_html` статическую строку формата первым параметром, а подставляемые переменные — последующими.

zh

把格式化字符串作为 `format_html` 的第一个参数会使变量失去正确编码——首参中的任何 HTML 都不会被编码,也掩盖了哪些参数会被编码。正确用法是:第一个参数传静态格式串,待替换的变量作为后续参数传入。

zh-Hant

把格式化字串作為 `format_html` 的第一個參數會使變數失去正確編碼——首參中的任何 HTML 都不會被編碼,也掩蓋了哪些參數會被編碼。正確用法是:第一個參數傳靜態格式串,待替換的變數作為後續參數傳入。

CWE 知识卡

语言名称修复建议
deCross-Site-Scripting (XSS)Kodieren Sie Ausgaben nach Kontext (HTML/Attribut/JS/URL), lassen Sie die Template-Engine automatisch escapen, verbieten Sie nicht vertrauenswürdiges HTML und konfigurieren Sie CSP.
en——
frNeutralisation inappropriée de l'entrée lors de la génération d'une page web (cross-site scripting)Encodez la sortie selon le contexte (HTML/attribut/JS/URL), laissez le moteur de templates échapper automatiquement, interdisez le HTML non fiable et configurez une CSP.
jaクロスサイトスクリプティング(XSS)出力はコンテキスト(HTML/属性/JS/URL)に応じてエンコードし、テンプレートエンジンによる自動エスケープを利用してください。信頼できない HTML は無効化し、CSP を設定してください。
ko크로스 사이트 스크립팅(XSS)출력은 문맥(HTML/속성/JS/URL)에 맞게 인코딩하고, 템플릿 엔진의 자동 이스케이프를 사용하며, 신뢰할 수 없는 HTML은 비활성화하고, CSP를 설정하십시오.
ruМежсайтовый скриптинг (XSS)Кодируйте вывод по контексту (HTML/атрибуты/JS/URL), включайте автоэкранирование шаблонного движка, запрещайте недоверенный HTML и настройте CSP.
zh跨站脚本(XSS)输出按上下文编码(HTML/属性/JS/URL),使用模板引擎自动转义,禁用不可信 HTML,并配置 CSP。
zh-Hant跨站指令碼(XSS)輸出按上下文編碼(HTML/屬性/JS/URL),使用範本引擎自動跳脫,停用不可信 HTML,並設定 CSP。

OWASP

A07:2017 - Cross-Site Scripting (XSS)A03:2021 - Injection

元数据

likelihoodLOW
impactMEDIUM
confidenceLOW

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/python/django/security/audit/xss/formathtml-fstring-parameter.yaml