python.non-literal-import

返回列表 · CWE 索引

pythonWARNING规则详情

各语言消息对照

语言消息
de

Nicht vertrauenswürdige Benutzereingaben in der Funktion `importlib.import_module()` erlauben einem Angreifer, beliebigen Code zu laden. Vermeiden Sie dynamische Werte in `importlib.import_module()` oder arbeiten Sie mit einer Whitelist, damit kein nicht vertrauenswürdiger Code ausgeführt wird.

en

Untrusted user input in `importlib.import_module()` function allows an attacker to load arbitrary code. Avoid dynamic values in `importlib.import_module()` or use a whitelist to prevent running untrusted code.

fr

Une entrée utilisateur non fiable dans la fonction `importlib.import_module()` permet à un attaquant de charger du code arbitraire. Évitez les valeurs dynamiques dans `importlib.import_module()` ou utilisez une liste blanche pour empêcher l'exécution de code non fiable.

ja

`importlib.import_module()` 内の信頼できないユーザー入力により、攻撃者が任意のコードを読み込むことができます。`importlib.import_module()` で動的な値を使用しないようにするか、ホワイトリストによって信頼できないコードの実行を防いでください。

ko

`importlib.import_module()`의 신뢰할 수 없는 사용자 입력으로 인해 공격자가 임의 코드를 로드할 수 있습니다. `importlib.import_module()`에 동적 값을 사용하지 않거나, 허용 목록으로 신뢰할 수 없는 코드의 실행을 차단하십시오.

ru

Недоверенный пользовательский ввод в функции `importlib.import_module()` позволяет злоумышленнику загрузить произвольный код. Избегайте динамических значений в `importlib.import_module()` или применяйте белый список, чтобы недоверенный код не запускался.

zh

`importlib.import_module()` 中的不可信用户输入允许攻击者加载任意代码。请避免在 `importlib.import_module()` 中使用动态值,或用白名单阻止运行不可信代码。

zh-Hant

`importlib.import_module()` 中的不可信使用者輸入允許攻擊者載入任意程式碼。請避免在 `importlib.import_module()` 中使用動態值,或用白名單阻止執行不可信程式碼。

CWE 知识卡

语言名称修复建议
deVerwendung manipulierbarer VariablennamenGreifen Sie über Allowlist-Zuordnungen auf Variablen/Felder zu und setzen Sie keine Bezeichner aus externen Eingaben zusammen.
en——
frUtilisation d'un nom ou d'une référence résolue de manière incorrecteAccédez aux variables et champs via un mappage en liste blanche ; ne construisez pas d'identifiants par concaténation d'entrée externe.
ja操作された変数名の使用変数・フィールドへのアクセスはホワイトリストのマッピングで行い、外部入力を連結して識別子を構築しないでください。
ko조작된 변수명 사용변수/필드는 허용 목록 매핑으로 접근하고, 외부 입력으로 식별자를 이어 붙이지 마십시오.
ruИспользование подменённого имени переменнойОбращайтесь к переменным и полям через белый список соответствий; не собирайте идентификаторы из внешнего ввода.
zh使用被操控的变量名以白名单映射访问变量/字段,不使用外部输入拼接标识符。
zh-Hant使用被操控的變數名以白名單對映存取變數/欄位,不使用外部輸入串接識別符號。

OWASP

A01:2021 - Broken Access Control

元数据

likelihoodLOW
impactMEDIUM
confidenceLOW

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/python/lang/security/audit/non-literal-import.yaml