Font file string intepreted as Drupal Hash
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 50/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Ferma
- Stack tecnologico
- javascript
- Ambito
- security
Direzione di ricerca
Inizia da passive/Find Hashes.js intorno alla riga 60, dove è definita l'espressione regolare per il rilevamento degli hash Drupal. Esamina come il pattern corrisponde al contenuto della risposta, quindi verifica che una risposta woff2 non attivi più l'alert, mentre gli hash Drupal validi continuino ad attivarlo; l'issue non indica alcun file di test.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Describe the bug
False Positive:
Requires Passive Scanning Alpha in order to have the "Information Disclosure - Drupal Hash (Passive 100010).
A woff2 font file (and by extent, other files too?) content may contains strings that would trigger the regex
https://github.com/zaproxy/community-scripts/blob/bf5135a7cd2ebf9994e28ae354a49633c40abd6c/passive/Find%20Hashes.js#L60
Here is what triggered this regex in my case : $½$ u°+ºº¥nu÷{ûJ0»2¼ó¬$Óë¾}'d>æüºJVõmMdÒ
öVU<
As far as I know Drupal hashes are alphanumeric only.
Maybe a more restrictive regex like some others in the same file could do the job.
Steps to reproduce the behavior
- Have ZAP passive scan analyze a response with the content of a woff2 font file.
- If the file happens to contain a string starting with
$followed by a char, then another$, and whatever 52 other char then the request is going to be tagged as "Information Disclosure - Drupal Hash".
Expected behavior
As the content of a font file has nothing to do with a Drupal hash, this alert should not be raised.
Software versions
ZAP 2.15.0 Desktop
Screenshots
No response
Errors from the zap.log file
No response
Additional context
Passive Scanner Alpha v42.0.0
Would you like to help fix this issue?
- Yes
- Lingua principale
- JavaScript
- Stelle
- 895
- Fork
- 261
- Merge medio
- 53m
- PR unite (30g)
- 1
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di zaproxy/community-scripts
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
zaproxy/community-scripts#524 · 1 commento ·
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100
zaproxy/community-scripts#522 · 1 commento ·
-
enhancement
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
zaproxy/community-scripts#440 · 2 reazioni ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 20/100
zaproxy/community-scripts#170 · 3 commenti ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 25/100
zaproxy/community-scripts#61 · 1 commento ·
Tutte le issue di zaproxy/community-scripts
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
saadeghi/daisyui#4780 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
-
accessibility bug embed websites
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
quarto-dev/quarto-cli#14972 ·
I maintainer di solito rispondono entro 1 giorno
-
has-readme needs-attention new-tool repo-verified
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
shanselman/TinyToolTown#834 · 2 commenti ·
I maintainer di solito rispondono entro 6 giorni
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
siderolabs/talos-design-system#16 ·
I maintainer di solito rispondono entro 1 giorno