CWE-794 Variante Incomplet

Incomplete Filtering of Multiple Instances of Special Elements

This vulnerability occurs when an application receives data from a source but fails to remove or neutralize every instance of a potentially dangerous element before passing that data to another…

Définition

What is CWE-794?

This vulnerability occurs when an application receives data from a source but fails to remove or neutralize every instance of a potentially dangerous element before passing that data to another component.

This flaw is a common oversight in input validation and sanitization routines. It happens when a filter or sanitizer processes data but only handles the first, last, or a single instance of a special character, command, or code sequence (like '--' for SQL comments or '' tags). Attackers can bypass these incomplete defenses by injecting multiple instances of the element, allowing at least one to slip through and potentially cause injection, cross-site scripting (XSS), or other security issues. Incomplete filtering can affect both sequential elements (where dangerous patterns appear right next to each other) and non-sequential elements (where they are scattered throughout the input). To prevent this, developers must ensure their sanitization logic iterates through the entire input payload, removing or encoding all occurrences of the targeted special elements, not just one.

Impact réel

Real-world CVEs caused by CWE-794

Aucune référence CVE publique n'est liée à ce CWE dans le catalogue MITRE pour le moment.

Comment les attaquants l'exploitent

Parcours de l'attaquant étape par étape

1
The following code takes untrusted input and uses a regular expression to filter "../" from the input. It then appends this result to the /home/user/ directory and attempts to read the file in the final resulting path.
2
Since the regular expression does not have the /g global match modifier, it only removes the first instance of "../" it comes across. So an input value such as:
3
will have the first "../" stripped, resulting in:
4
This value is then concatenated with the /home/user/ directory:
5
which causes the /etc/passwd file to be retrieved once the operating system has resolved the ../ sequences in the pathname. This leads to relative path traversal (CWE-23).

Exemple de code vulnérable

Vulnerable Perl

The following code takes untrusted input and uses a regular expression to filter "../" from the input. It then appends this result to the /home/user/ directory and attempts to read the file in the final resulting path.

Vulnérable Perl

my $Username = GetUntrustedInput();
  $Username =~ s/\.\.\///;
  my $filename = "/home/user/" . $Username;
  ReadAndSendFile($filename);

Charge utile de l'attaquant

Since the regular expression does not have the /g global match modifier, it only removes the first instance of "../" it comes across. So an input value such as:

Charge utile de l'attaquant

../../../etc/passwd

Exemple de code sécurisé

Secure pseudo

Sécurisé pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Liste de contrôle de prévention

How to prevent CWE-794

Architecture Use safe-by-default frameworks and APIs that prevent the unsafe pattern from being expressible.
Implementation Validate input at trust boundaries; use allowlists, not denylists.
Implementation Apply the principle of least privilege to credentials, file paths, and runtime permissions.
Testing Cover this weakness in CI: SAST rules + targeted unit tests for the data flow.
Operation Monitor logs for the runtime signals listed in the next section.

Signaux de détection

How to detect CWE-794

SAST High

Exécuter une analyse statique (SAST) sur le code source à la recherche du motif non sécurisé dans le flux de données.

DAST Moderate

Exécuter des tests de sécurité applicative dynamique (DAST) contre le point de terminaison en ligne.

Runtime Moderate

Surveiller les journaux runtime pour détecter des traces d'exception inhabituelles, des entrées malformées ou des tentatives de contournement d'autorisation.

Code review Moderate

Revue de code : signaler tout nouveau code qui traite les entrées de cette surface sans utiliser les helpers du framework validés.

Correction automatique Plexicus

Plexicus détecte automatiquement CWE-794 et ouvre une PR de correction en moins de 60 secondes.

Codex Remedium analyse chaque commit, identifie cette faiblesse précise et livre une pull request prête à être relue avec le correctif. Pas de tickets. Pas de transferts.

Obtenir une démo Essayer Plexicus gratuitement

Questions fréquentes

Frequently asked questions

Qu'est-ce que CWE-794 ?

Quelle est la gravité de CWE-794 ?

MITRE n'a pas publié de note de probabilité d'exploitation pour cette faiblesse. Traitez-la comme un impact moyen jusqu'à ce que votre modèle de menace prouve le contraire.

Quels langages ou plateformes sont affectés par CWE-794 ?

MITRE n'a pas spécifié les plateformes affectées pour ce CWE — il peut s'appliquer à la plupart des stacks applicatives.

Comment puis-je prévenir CWE-794 ?

Use safe-by-default frameworks, validate untrusted input at trust boundaries, and apply the principle of least privilege. Cover the data-flow signature in CI with SAST.

Comment Plexicus détecte et corrige CWE-794 ?

Le moteur SAST de Plexicus reconnaît la signature de flux de données de CWE-794 à chaque commit. Lorsqu'une correspondance est trouvée, notre agent Codex Remedium ouvre une PR de correction avec le code corrigé, les tests et un résumé d'une ligne pour le relecteur.

Où puis-je en savoir plus sur CWE-794 ?

MITRE publie la définition canonique à https://cwe.mitre.org/data/definitions/794.html. Vous pouvez également consulter la documentation OWASP et NIST pour des conseils adjacents.

Faiblesses associées

Weaknesses related to CWE-794

CWE-792 Parent

Incomplete Filtering of One or More Instances of Special Elements

This vulnerability occurs when an application receives external data but fails to properly neutralize all instances of potentially…

CWE-793 Frère

Only Filtering One Instance of a Special Element

This vulnerability occurs when an application processes incoming data but only removes or neutralizes one occurrence of a dangerous…

Ressources

Arrêtez de payer par développeur.
Commencez à fermer la boucle.

Plexicus est l'ASPM natif IA qui scanne, filtre, corrige, penteste et explique — de façon autonome. Développeurs illimités, dépôts illimités, actions IA à usage équitable. Vrai niveau gratuit, €269/mo annuel quand vous êtes prêt.

Commencer gratuitement Réserver une démo