Dostawcy i produkty

CPE, skrót od Common Platform Enumeration, to ustandaryzowany schemat nazewnictwa sprzętu, oprogramowania i systemów operacyjnych. CPE zapewnia ustrukturyzowany schemat nazewnictwa do jednoznacznej identyfikacji i klasyfikacji systemów informatycznych, platform i pakietów na podstawie atrybutów takich jak dostawca, nazwa produktu, wersja, aktualizacja, edycja i język.

Nazwa: Improper Validation of Syntactic Correctness of Input

The product receives input that is expected to be well-formed - i.e., to comply with a certain syntax - but it does not validate or incorrectly validates that the input complies with the syntax.

Informacje ogólne

Szczegóły kontekstowe

Sposoby wprowadzenia

Implementation

Odpowiednie platformy

Język

Klasa: Not Language-Specific (Often)

Typowe konsekwencje

Zakres	Wpływ	Prawdopodobieństwo
Other	Varies by Context Uwaga: When untrusted input is not properly validated for the expected syntax, attackers could cause parsing failures, trigger unexpected errors, or expose latent vulnerabilities that might not be directly exploitable if the input had conformed to the syntax.

Zaobserwowane przykłady

Odniesienia	Opis
CVE-2016-4029	Chain: incorrect validation of intended decimal-based IP address format (CWE-1286) enables parsing of octal or hexadecimal formats (CWE-1389), allowing bypass of an SSRF protection mechanism (CWE-918).
CVE-2007-5893	HTTP request with missing protocol version number leads to crash

Potencjalne środki zaradcze

Phases : Implementation

Uwagi dotyczące mapowania podatności

Uzasadnienie : This CWE entry is at the Base level of abstraction, which is a preferred level of abstraction for mapping to the root causes of vulnerabilities.
Komentarz : Carefully read both the name and description to ensure that this mapping is an appropriate fit. Do not try to 'force' a mapping to a lower-level Base/Variant simply to comply with this preferred level of abstraction.

Powiązane wzorce ataków

CAPEC ID	Nazwa wzorca ataku
CAPEC-66	SQL Injection This attack exploits target software that constructs SQL statements based on user input. An attacker crafts input strings so that when the target software constructs SQL statements based on the input, the resulting SQL statement performs actions other than those the application intended. SQL Injection results from failure of the application to appropriately validate input.
CAPEC-676	NoSQL Injection

Notatki

This entry is still under development and will continue to see updates and content improvements.

Zgłoszenie

Nazwa	Organizacja	Data	Data wydania	Version
CWE Content Team	MITRE	2020-06-24 +00:00	2020-02-24 +00:00	4.1

Modyfikacje

Nazwa	Organizacja	Data	Komentarz
CWE Content Team	MITRE	2020-08-20 +00:00	updated Related_Attack_Patterns
CWE Content Team	MITRE	2022-04-28 +00:00	updated Related_Attack_Patterns
CWE Content Team	MITRE	2022-10-13 +00:00	updated Observed_Examples
CWE Content Team	MITRE	2023-04-27 +00:00	updated Relationships
CWE Content Team	MITRE	2023-06-29 +00:00	updated Mapping_Notes
CWE Content Team	MITRE	2025-12-11 +00:00	updated Weakness_Ordinalities
CWE Content Team	MITRE	2026-10-28 +00:00	updated Background_Details, Common_Consequences, Description, Dimensions

Informacje prezentowane na CVE Find pochodzą z kilku starannie wybranych źródeł referencyjnych. Dane CVE są dostarczane przez MITRE Corporation i Narodową Bazę Podatności (NVD). Katalog znanych eksploatowanych podatności (KEV) pochodzi z Agencji ds. Bezpieczeństwa Cyberprzestrzeni i Infrastruktury (CISA), natomiast wyniki EPSS pochodzą z FIRST.org. Ponadto dane dotyczące słabości oprogramowania (CWE) i typowych wzorców ataków (CAPEC) są utrzymywane przez MITRE Corporation, a informacje o konfiguracjach sprzętu i oprogramowania (CPE) są dostarczane przez NVD.

Szczegóły CWE-1286

CWE-1286