V5.1.3 Input Validation

Requirement:

Verify that all input (HTML form fields, REST requests, URL parameters, HTTP headers, cookies, batch files, RSS feeds, etc) is validated using positive validation (allow lists). (C5)

Explanation:

Приложение получает входные данные или данные, но не проверяет или проверяет неправильно, что входные данные обладают свойствами, необходимыми для безопасной и правильной обработки данных.

Remediation:

Положительная проверка, также известная как «внесение в белый список», — это метод безопасности, при котором в качестве входных данных допускается только определенный набор значений. Это помогает предотвратить обработку вредоносных данных и снижает риск уязвимостей безопасности, таких как внедрение SQL и межсайтовый скриптинг (XSS). Вот пример положительной проверки с использованием JavaScript для поля HTML-формы:

function validateForm() {

var validEmails = ["email1@example.com", "email2@example.com"];

var email = document.forms["myForm"]["email"].value;

if (validEmails.indexOf(email) == -1) {

alert("Invalid email address");

return false;

}

}

В этом примере массив validEmails содержит список разрешенных адресов электронной почты. Метод indexOf используется для проверки наличия введенного адреса электронной почты в списке. Если адрес электронной почты отсутствует в списке, отправка формы невозможна и отображается сообщение об ошибке. Этот метод можно применять для проверки других типов ввода, таких как запросы REST, параметры URL, заголовки HTTP, файлы cookie, пакетные файлы и RSS-каналы, путем определения списка разрешенных значений и проверки соответствия входящих данных одному из этих значений. . Реализация будет зависеть от используемого вами языка программирования и фреймворка.

Additional:

https://json-schema.org/ https://docs.djangoproject.com/en/1.11/ref/validators/ https://owasp.org/www-community/OWASP_Validation_Regex_Repository https://cwe.mitre.org/data/definitions/20.html