Сканирование OWASP ZAP возвращает «раскрытие ошибки приложения» в библиотеку JavaScript. Это ложное срабатывание? Как это доказать или исправить? - PullRequest
Новая
       59

Сканирование OWASP ZAP возвращает «раскрытие ошибки приложения» в библиотеку JavaScript. Это ложное срабатывание? Как это доказать или исправить?

0 голосов
/ 07 ноября 2019

После автоматического сканирования с помощью OWASP ZAP 2.8.0 у меня появляется «Application Error Disclosure» с файлом javascript (библиотека moxiejs). Сайт основан на WordPress обновлен до последней версии. Как исправить эту уязвимость? Или это ложное срабатывание? 

Medium (Medium) Application Error Disclosure
Description 
This page contains an error/warning message that may disclose sensitive information like the location of the file that produced the unhandled exception. This information can be used to launch further attacks against the web application. The alert could be a false positive if the error message is found inside a documentation page.

URL http://x.x.x.x/wordpress/wp-includes/js/plupload/moxie.min.js?ver=1.3.5
Method  GET
Evidence    Internal Server Error
Instances   1
Solution    
Review the source code of this page. Implement custom error pages. Consider implementing a mechanism to provide a unique error reference/identifier to the client (browser) while logging the details on the server side and not exposing them to the user.

Reference   
CWE Id  200
WASC Id 13
Source ID   3

enter image description here

Я обнаружил, что скрипт moxiejs содержит строку «Внутренняя ошибка сервера», пример (https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/js/plupload/moxie.min.js). Проверяет ли ZAP поиск текста ошибки?

1 Ответ

4 голосов
/ 08 ноября 2019

Да, это ложноположительный результат, поскольку ZAP сканировал JS-URL с ключевыми словами, такими как RuntimeError:, поэтому вы получили это ложноположительное сообщение.

...