NoSQL 盲注（差异分析）
high Web App Scanning 插件 ID 98119
语言：
简介
NoSQL 盲注（差异分析）描述
如果未事先审查客户端请求中的值便将其用于 NoSQL 调用，就会发生 NoSQL 注入。网络犯罪分子可借此执行任意 NoSQL 代码并因而窃取数据，或使用数据库服务器的其他功能来进一步控制服务器组件。
扫描程序发现受影响的页面和参数容易受到影响。扫描程序能够注入特定的 NoSQL 查询，所以我们检测到此注入漏洞。如果攻击此漏洞，每次注入的响应都会有所不同。这称为 NoSQL 盲注漏洞。
解决方案
针对 NoSQL 注入攻击最有效的修复是确保不通过包含未审查数据的字符串串联来构造 NoSQL API 调用。最好使用现有的转义库进行审查。
另见
插件详情
严重性: High
ID: 98119
类型: remote
系列: Injection
发布时间: 2017/3/31
最近更新时间: 2025/1/20
扫描模板: api, pci, scan
风险信息
VPR
风险因素: Medium
分数: 6.2
CVSS v2
风险因素: High
基本分数: 9
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:P/A:P
CVSS 分数来源: Tenable
CVSS v3
风险因素: High
基本分数: 8.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVSS 分数来源: Tenable
CVSS v4
风险因素: High
Base Score: 7.2
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N
CVSS 分数来源: Tenable
参考资料信息
CWE: 89
OWASP: 2010-A1, 2013-A1, 2017-A1, 2021-A3
WASC: SQL Injection
CAPEC: 108, 109, 110, 470, 66, 7
DISA STIG: APSC-DV-002540
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-SI-10
OWASP API: 2019-API8
OWASP ASVS: 4.0.2-5.3.4
PCI-DSS: 3.2-6.5.1