Edge Side Includes 注入
medium Web App Scanning 插件 ID 114398
语言：
简介
Edge Side Includes 注入描述
Edge Side Includes (ESI) 是一种用于动态 Web 内容汇编的标记语言。它允许 Web 开发人员在边缘服务器缓存部分网页，从而减少服务器负载并改善页面加载时间。但是，如果 ESI 未正确实现，则可能容易遭受 ESI 注入攻击。在 ESI 注入攻击中，攻击者会将恶意 ESI 标签注入网页中。这些标签可以指示边缘服务器包含恶意内容或执行非预期操作。这可能导致多种安全风险，包括数据泄漏、跨站脚本 (XSS) 和执行任意代码。
解决方案
要修复 Edge Side Inclusion (ESI) 注入漏洞，请实施严格的输入验证和审查，以确保仅处理干净的数据。通过遵守规范并使用受信任标签的允许列表来保护 ESI 解析。部署健全的内容安全策略 (CSP) 以缓解 XSS 风险，并按照最低权限原则操作边缘服务器，从而将其与主应用程序服务器隔离。另见
https://gosecure.ai/blog/2018/04/03/beyond-xss-edge-side-include-injection/
插件详情
严重性: Medium
ID: 114398
类型: remote
系列: Injection
发布时间: 2024/8/12
最近更新时间: 2024/8/12
扫描模板: basic, full, pci, scan
风险信息
VPR
风险因素: Low
分数: 3.5
CVSS v2
风险因素: Medium
基本分数: 5
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: Tenable
CVSS v3
风险因素: Medium
基本分数: 4.8
矢量: CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
CVSS 分数来源: Tenable
CVSS v4
风险因素: Medium
Base Score: 5.1
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
CVSS 分数来源: Tenable
参考资料信息
CWE: 74
OWASP: 2010-A1, 2013-A1, 2017-A1, 2021-A3
WASC: Improper Input Handling
CAPEC: 10, 101, 108, 120, 13, 135, 14, 24, 250, 267, 273, 28, 3, 34, 42, 43, 45, 46, 47, 51, 52, 53, 6, 64, 67, 7, 71, 72, 76, 78, 79, 8, 80, 83, 84, 9
DISA STIG: APSC-DV-002560
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-SI-10
OWASP API: 2019-API8
OWASP ASVS: 4.0.2-5.2.5
PCI-DSS: 3.2-6.5.1