C15-T001 · Désérialisation / exécution
Désérialisation PHP
« Désérialisation PHP » : Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Comment lire le résultat
Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Ce qu’il faut corriger
Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C15-T001 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les contrôleurs, validateurs, modèles et vues du parcours concerné le réglage ou le parcours associé à « Désérialisation PHP ». Notez la valeur actuelle et les cas qui en dépendent.
- Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
- Vérifiez le résultat sur le même périmètre : le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée. Conservez la preuve et relancez C15-T001 dans AxiSecurity.
Preuve attendue
le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée.