GitLab 高级静态应用安全测试（SAST）CWE 覆盖范围

GitLab 高级静态应用安全测试（SAST） 可在多种编程语言编写的代码中检测出许多潜在的安全漏洞。

GitLab 会为每个潜在漏洞分配对应的**通用缺陷枚举（CWE）**标识符。
CWE 标识符是识别安全弱点的行业标准方式，但需注意以下几点：

• CWE 以树状结构组织。例如，CWE-22：路径遍历 是 CWE-23：相对路径遍历 的父类。专门检测相对路径遍历漏洞（CWE-23）的扫描器，按定义也会检测更通用的路径遍历类别（CWE-22）的一部分。
• 为清晰起见，此表列出了分配给 GitLab 高级静态应用安全测试（SAST）规则的精确 CWE 标识符。它不会报告父类标识符。

若想了解 GitLab 高级静态应用安全测试（SAST）使用的规则，请参阅 SAST 规则。

各语言的CWE覆盖范围

GitLab 高级静态应用安全测试（SAST）在每种编程语言中检测到以下类型的弱点：

| CWE-80 | 网页中脚本相关HTML标签的不当中和（基本XSS） | No | No | No | Yes | No | No | No | | CWE-88 | 命令中参数分隔符的不当中和（‘参数注入’） | No | No | Yes | No | No | No | No | | CWE-89 | SQL命令中使用特殊元素的不当中和（‘SQL注入’） | Yes | Yes | Yes | Yes | Yes | Yes | Yes | | CWE-90 | LDAP查询中使用特殊元素的不当中和（‘LDAP注入’） | Yes | No | Yes | No | No | Yes | No | | CWE-91 | XML注入（又称盲XPath注入） | No | No | Yes | No | No | No | No | | CWE-94 | 代码生成不当控制（‘代码注入’） | No | Yes | Yes | Yes | Yes | Yes | Yes | | CWE-95 | 动态评估代码中指令的不当中和（‘Eval注入’） | No | No | Yes | Yes | No | Yes | Yes | | CWE-113 | HTTP头中CRLF序列的不当中和（‘HTTP请求/响应拆分’） | No | No | Yes | Yes | No | Yes | No | | CWE-116 | 输出编码或转义不当 | No | No | No | Yes | No | Yes | No | | CWE-117 | 日志输出中和不当 | No | No | Yes | No | No | No | No |

| CWE-118 | 可索引资源的错误访问（‘范围错误’） | No | Yes | No | No | No | No | No | | CWE-125 | 越界读取 | No | No | No | Yes | No | No | No | | CWE-155 | 通配符或匹配符号的不当中和 | No | No | No | No | No | Yes | No | | CWE-180 | 错误的行为顺序：在规范化之前验证 | No | No | Yes | No | No | No | No | | CWE-182 | 数据坍塌到不安全值 | No | No | Yes | No | No | No | No | | CWE-185 | 不正确的正则表达式 | No | No | No | Yes | No | No | Yes | | CWE-190 | 整数溢出或环绕 | No | Yes | Yes | No | No | No | No | | CWE-191 | 整数下溢（环绕） | No | No | Yes | No | No | No | No | | CWE-208 | 可观察的时间差异 | No | No | No | Yes | No | No | No | | CWE-209 | 包含敏感信息的错误消息生成 | No | No | No | No | No | No | Yes |

| CWE-242 | 使用固有危险函数 | 否 | 是 | 否 | 否 | 否 | 否 | 否 | | CWE-256 | 密码明文存储 | 否 | 否 | 是 | 否 | 否 | 否 | 否 | | CWE-272 | 最小权限违规 | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | CWE-276 | 默认权限设置不正确 | 否 | 是 | 否 | 否 | 否 | 否 | 是 | | CWE-295 | 证书验证不当 | 是 | 否 | 是 | 是 | 是 | 是 | 是 | | CWE-297 | 主机不匹配时的证书验证不当 | 否 | 否 | 是 | 否 | 否 | 否 | 否 | | CWE-306 | 关键功能缺少认证 | 否 | 否 | 是 | 否 | 否 | 否 | 否 | | CWE-311 | 敏感数据未加密 | 否 | 否 | 否 | 否 | 否 | 否 | 是 | | CWE-319 | 敏感信息明文传输 | 否 | 否 | 是 | 是 | 是 | 是 | 否 | | CWE-322 | 无实体认证的密钥交换 | 否 | 是 | 否 | 否 | 否 | 是 | 否 |

| CWE-323 | 在加密中重复使用随机数（Nonce）、密钥对 | No | No | Yes | No | No | No | No | | CWE-326 | 加密强度不足 | No | Yes | Yes | No | No | Yes | Yes | | CWE-327 | 使用已损坏或存在风险的密码算法 | Yes | Yes | Yes | Yes | Yes | Yes | No | | CWE-328 | 使用弱哈希 | No | No | No | Yes | Yes | No | Yes | | CWE-338 | 使用密码学上较弱的伪随机数生成器（PRNG） | Yes | Yes | Yes | Yes | Yes | Yes | No | | CWE-346 | 来源验证错误 | No | No | No | Yes | No | No | No | | CWE-347 | 密码签名验证不当 | No | No | Yes | No | No | Yes | No | | CWE-348 | 使用可信度较低的源 | No | No | No | Yes | No | No | No | | CWE-352 | 跨站请求伪造（CSRF） | Yes | No | Yes | No | No | Yes | Yes | | CWE-358 | 标准安全检查实现不当 | No | No | No | Yes | No | No | No |

| CWE-369 | 除以零 | No | No | No | No | No | No | Yes | | CWE-377 | 不安全的临时文件 | No | Yes | No | No | No | Yes | No | | CWE-409 | 高度压缩数据的不当处理（数据放大） | No | Yes | No | No | No | No | No | | CWE-470 | 使用外部控制的输入选择类或代码（“不安全反射”） | No | No | Yes | No | No | No | No | | CWE-489 | 活跃的调试代码 | No | Yes | Yes | No | No | Yes | No | | CWE-497 | 向未授权的控制域暴露敏感系统信息 | No | No | No | No | Yes | Yes | No | | CWE-501 | 信任边界违规 | No | No | Yes | No | No | No | No | | CWE-502 | 非可信数据的反序列化 | Yes | No | Yes | Yes | Yes | Yes | Yes | | CWE-521 | 弱密码要求 | Yes | No | No | No | No | No | No | | CWE-522 | 保护不足的凭证 | No | No | No | Yes | No | No | No |

| CWE-552 | 文件或目录可被外部方访问 | 否 | 是 | 是 | 否 | 否 | 否 | 否 | | CWE-554 | ASP.NET 配置错误：未使用输入验证框架 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | CWE-598 | 使用GET请求方法传递敏感查询字符串 | 否 | 否 | 否 | 否 | 是 | 否 | 否 | | CWE-599 | 缺少对OpenSSL证书的验证 | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | CWE-601 | URL重定向到不受信任的站点（“开放重定向”） | 是 | 是 | 是 | 是 | 是 | 是 | 是 | | CWE-606 | 循环条件中未检查的输入 | 否 | 否 | 否 | 是 | 否 | 是 | 否 | | CWE-611 | XML外部实体引用的不当限制 | 是 | 是 | 是 | 是 | 是 | 是 | 否 | | CWE-613 | 会话过期时间不足 | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | CWE-614 | HTTPS会话中使用不带’Secure’属性的敏感Cookie | 是 | 是 | 是 | 是 | 是 | 否 | 否 | | CWE-639 | 通过用户控制的密钥绕过授权 | 否 | 否 | 否 | 否 | 否 | 否 | 是 |

| CWE-643 | XPath 表达式内数据未正确净化（‘XPath 注入’） | Yes | No | Yes | Yes | No | Yes | No | | CWE-704 | 不正确的类型转换或强制转换 | No | No | Yes | No | No | No | No | | CWE-732 | 关键资源权限分配不当 | No | Yes | Yes | No | No | Yes | No | | CWE-749 | 暴露危险方法或函数 | No | No | Yes | No | No | No | Yes | | CWE-754 | 对异常或特殊情况检查不当 | No | No | No | No | No | No | Yes | | CWE-757 | 协商期间选择安全性较低的算法（‘算法降级’） | No | No | No | Yes | No | No | No | | CWE-770 | 无限制或节流地分配资源 | No | Yes | No | Yes | No | Yes | No | | CWE-776 | DTD 中递归实体引用的限制不当（‘XML 实体扩展’） | No | No | No | Yes | No | No | No | | CWE-780 | 使用不带 OAEP 的 RSA 算法 | No | No | Yes | No | No | No | No | | CWE-787 | 越界写入 | No | No | No | Yes | No | No | No |

| CWE-798 | 使用硬编码凭证 | No | No | No | Yes | No | No | No | | CWE-913 | 动态管理的代码资源不当控制 | No | No | No | Yes | No | No | No | | CWE-915 | 动态确定的对象属性不当修改 | No | No | No | No | No | No | Yes | | CWE-917 | 表达式语言语句中特殊元素的不当中和（表达式语言注入） | No | No | Yes | No | No | No | No | | CWE-918 | 服务器端请求伪造（SSRF） | Yes | Yes | Yes | Yes | Yes | Yes | Yes | | CWE-942 | 对不受信任域采用宽松的跨域策略 | No | Yes | Yes | Yes | No | Yes | No | | CWE-943 | 数据查询逻辑中特殊元素的不当中和 | No | Yes | Yes | Yes | No | No | No | | CWE-1004 | 缺少 HttpOnly 标志的敏感 Cookie | Yes | Yes | Yes | Yes | Yes | Yes | Yes | | CWE-1021 | 渲染的用户界面层或框架不当限制 | No | No | Yes | No | No | No | No | | CWE-1104 | 使用未维护的第三方组件 | No | No | No | No | No | Yes | No |

| CWE-1204 | 生成弱初始化向量（IV） | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | CWE-1275 | 带有不正确SameSite属性的敏感Cookie | 否 | 否 | 否 | 是 | 是 | 是 | 否 | | CWE-1321 | 对象原型属性修改控制不当（‘原型污染’） | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | CWE-1327 | 绑定到不受限制的IP地址 | 否 | 是 | 否 | 否 | 否 | 是 | 否 | | CWE-1333 | 低效的正则表达式复杂度 | 否 | 否 | 否 | 否 | 否 | 是 | 是 | | CWE-1336 | 模板引擎中使用的特殊元素净化不当 | 否 | 否 | 否 | 否 | 是 | 否 | 否 | | CWE-1390 | 弱身份验证 | 否 | 否 | 是 | 否 | 否 | 是 | 否 |