目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-471 对假设不可变数据的修改(MAID) 类漏洞列表 37

CWE-471 对假设不可变数据的修改(MAID) 类弱点 37 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-471属于数据完整性漏洞，指程序错误地允许修改本应不可变的关键数据。攻击者常利用此缺陷，通过篡改隐藏表单字段、Cookie或反向DNS查找结果，绕过安全校验或改变应用逻辑。开发者应避免依赖客户端或外部不可信数据作为安全决策依据，对关键配置实施服务端强制校验，并使用只读存储或权限控制机制，确保核心数据在运行时不被非法篡改。

MITRE CWE 官方描述
CWE：CWE-471 修改假定不可变数据 (Modification of Assumed-Immutable Data, MAID) 英文：产品未能正确保护假定不可变元素，使其免受攻击者的修改。 当某个输入对应用程序的运行至关重要，以至于根本不应允许修改，但实际上却允许修改时，就会发生这种情况。某些资源通常被假定是不可变的，但实际上并非如此，例如 Web 应用程序中的隐藏表单字段 (hidden form fields)、Cookie 以及反向 DNS 查找 (reverse DNS lookups)。
常见影响 (2)
Integrity Modify Application Data
Common data types that are attacked are environment variables, web application parameters, and HTTP headers.
Integrity Unexpected State
缓解措施 (1)
Architecture and Design, Operation, Implementation When the data is stored or transmitted through untrusted sources that could modify the data, implement integrity checks to detect unauthorized modification, or store/transmit the data in a trusted location that is free from external influence.
代码示例 (1)
In the code excerpt below, an array returned by a Java method is modified despite the fact that arrays are mutable.
String[] colors = car.getAllPossibleColors(); colors[0] = "Red";
Bad · Java
CVE ID 标题 CVSS 风险等级 Published
CVE-2020-8116 dot-prop 安全漏洞 — dot-prop 6.5 - 2020-02-04
CVE-2018-3719 mixin-deep 安全漏洞 — mixin-deep node module 8.8 - 2018-06-07
CVE-2018-3723 defaults-deep 输入验证漏洞 — defaults-deep node module 8.8 - 2018-06-07
CVE-2018-3722 merge-deep node模块安全漏洞 — merge-deep node module 8.8 - 2018-06-07
CVE-2018-3721 lodash node模块安全漏洞 — lodash node module 8.8 - 2018-06-07
CVE-2018-3720 assign-deep node模块安全漏洞 — assign-deep node module 8.8 - 2018-06-07
CVE-2018-3728 Hoek 访问控制错误漏洞 — hoek node module 8.8 - 2018-03-30

CWE-471（对假设不可变数据的修改(MAID)） 是常见的弱点类别，本平台收录该类弱点关联的 37 条 CVE 漏洞。