CWE-615 · Включение конфиденциальных сведений в комментарии исходного кода

CWE-615ВариантНеполный

Абстракция: Вариант

Статус: Неполный

Включение конфиденциальных сведений в комментарии исходного кода

Несмотря на то что добавление общих комментариев весьма полезно, некоторые программисты оставляют в них важные данные, такие как: имена файлов, связанные с веб-приложением, устаревшие ссылки или ссылки, не предназначенные для просмотра пользователями, фрагменты устаревшего кода и т. п.

Открыть в каталоге с фильтром CWE →

Связанные CAPEC

—

Связанные уязвимости

CVE-2024-52298macro-pdfviewer — это макрос просмотра PDF для XWiki, использующий Mozilla pdf.js. Макрос просмотра PDF позволяет злоумышленнику просматривать любое вложение, используя функцию "Делегировать мое право просмотра", если злоумышленник может просматривать страницу, последний автор которой имеет доступ к вложению. Для этого злоумышленнику нужно только предоставить ссылку на PDF-файл макросу. Чтобы получить ссылку на желаемое вложение, злоумышленник может получить доступ к Индексу страниц, вкладке Вложения. Даже если в интерфейсе отображается N/A, пользователь может проверить страницу и проверить HTTP-запрос, который извлекает записи динамических данных. URL-адрес вложения доступен в возвращенном JSON для всех вложений, включая защищенные, и позволяет получить необходимые значения. Эта уязвимость исправлена в версии 2.5.6.