目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-425 直接请求(强制性浏览) 类漏洞列表 98

CWE-425 直接请求(强制性浏览) 类弱点 98 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-425 属于强制浏览漏洞，指 Web 应用未对受限 URL、脚本或文件实施充分的授权控制。攻击者通常通过猜测或遍历目录结构，直接访问未授权的资源以获取敏感数据。开发者应确保服务器对所有请求严格执行身份验证与权限检查，避免依赖前端隐藏或路径混淆来保护资源，从而防止未授权访问。

MITRE CWE 官方描述
CWE：CWE-425 直接请求（Forced Browsing） 英文：Web 应用程序未在所有受限 URL、脚本或文件上充分执行适当的授权控制。
常见影响 (1)
Confidentiality, Integrity, Availability, Access Control Read Application Data, Modify Application Data, Execute Unauthorized Code or Commands, Gain Privileges or Assume Identity
缓解措施 (2)
Architecture and Design, Operation Apply appropriate access control authorizations for each access to all restricted URLs, scripts or files.
Architecture and Design Consider using MVC based frameworks such as Struts.
代码示例 (1)
If forced browsing is possible, an attacker may be able to directly access a sensitive page by entering a URL similar to the following.
http://somesite.com/someapplication/admin.jsp
Attack · JSP
CVE ID 标题 CVSS 风险等级 Published
CVE-2022-31484 Carrier LenelS2 HID Mercury access panels 安全漏洞 — LNL-X2210 7.5 High 2022-06-06
CVE-2022-31480 Carrier LenelS2 HID Mercury access panels 安全漏洞 — LNL-X2210 7.5 High 2022-06-06
CVE-2021-34588 Bender ebee 充电控制器 安全漏洞 — CC612 8.6 High 2022-04-27
CVE-2022-24385 SmarterTools SmarterTrack 安全漏洞 — SmarterTrack 6.5 Medium 2022-03-14
CVE-2021-24695 WordPress plugin Simple Download Monitor 信息泄露漏洞 — Simple Download Monitor 5.3 - 2021-11-08
CVE-2020-7541 多款 Schneider Electric 产品信息泄露漏洞 — Web Server on Modicon M340, Legacy Offers Modicon Quantum and Modicon Premium and associated Communication Modules (see security notification for affected versions) 5.3 - 2020-12-11
CVE-2019-2388 MongoDB Ops Manager 安全漏洞 — MongoDB Ops Manager 5.8 Medium 2020-05-13
CVE-2018-3774 url-parse 安全漏洞 — url-parse 9.1 - 2018-08-12

CWE-425（直接请求(强制性浏览)） 是常见的弱点类别，本平台收录该类弱点关联的 98 条 CVE 漏洞。