CWE-488 对错误会话暴露数据元素 类漏洞列表 34

CWE：CWE-488 数据元素暴露给错误的会话（Wrong Session） 英文：产品未能充分执行不同会话状态之间的边界限制，导致数据被提供给错误的会话或由错误的会话使用。 数据可以通过单例对象（如 Servlets）的成员变量或共享池中的对象从一个会话“渗漏”到另一个会话。在 Servlets 的情况下，开发人员有时不理解，除非 Servlet 实现了 SingleThreadModel 接口，否则 Servlet 是一个单例；即只有一个 Servlet 实例，该单一实例会被重复使用以处理由不同线程同时处理的多个请求。常见的结果是，开发人员以这样一种方式使用 Servlet 成员字段，即一个用户可能会无意中看到另一个用户的数据。换句话说，在 Servlet 成员字段中存储用户数据会引入数据访问竞争条件（Race Condition）。