flawopen.com/Verzeichnis/Referenzen

Sicherheitsreferenzen für Entwickler

Diese Referenzen helfen, Sicherheitsannahmen in Frameworks, ORMs, Authentifizierung, Serverless-Anwendungen und KI-Agenten zu prüfen. Jeder Leitfaden verbindet Erklärung und Abhilfe mit den technischen Details.

• Claude Code MemoryTrap: KI-Agentenspeicher — flawopen.com

  Ciscos MemoryTrap-Bericht: persistenter Speicher in Claude Code, die Korrektur in v2.1.50 und Schutzmaßnahmen für Agenten.

• KI-Agent-Sandboxing: Container, gVisor, MicroVMs

  Vergleich der Isolationsgrenzen von Containern, gVisor und MicroVMs für KI-Agenten.

• KI-Agent-Tools sicher begrenzen

  So begrenzen Sie übermäßige Agentenautonomie mit gezielten Tools, Benutzerautorisierung und minimalen Rechten.

• KI-PR-Bots: SSRF-Schutz — flawopen.com

  Wie nicht vertrauenswürdiger Pull-Request-Text KI-Tools beeinflussen kann und wie Bot-Berechtigungen und Netzwerkzugriff begrenzt werden.

• Sicherheitsrisiken von addJavascriptInterface unter Android

  WebView-Bridges geben native Methoden für alle Frames frei. Erfahre, wie XSS addJavascriptInterface gefährdet und wie du Seiten isolierst.

• Angular-XSS-Schutz: sichere Standards und Bypass-APIs

  Angular escaped Interpolation und bereinigt HTML- und URL-Bindings. Erfahre, wo bypassSecurityTrust* den Schutz umgeht und wie du XSS-Sinks prüfst.

• XSS durch MIME-Sniffing: Content-Type und nosniff

  Erfahre, wie MIME-Sniffing Uploads in Browserdokumente verwandeln kann, was nosniff bewirkt und wie Dateien sicher bereitgestellt werden.

• Ist strncpy() sicherer als strcpy()?

  In C ist strncpy() weniger riskant als strcpy(), garantiert aber keinen Nullterminator. Erfahre, warum du snprintf und strlcpy prüfen musst.

• CSP und Output-Escaping: Brauchst du beides?

  Kontextgerechte Ausgabekodierung verhindert XSS; CSP begrenzt Folgen, falls eine Lücke bleibt. So kombinierst du beide Schutzmaßnahmen.

• CSRF-Token bei GET: Wann ist es nötig?

  Sichere GET-Anfragen ändern keinen Zustand. Erfahre, wann unsichere Methoden CSRF-Schutz brauchen und wie du alte GET-Endpunkte migrierst.

• CWE vs. CVE: Was ist der Unterschied?

  CWE vs. CVE: Was ist der Unterschied?: CWE ist die Kategorie — eine Art von Fehler, wie "SQL-Injection" (CWE-89). CVE ist die Instanz — ein konkretes, dokumentiertes Auftreten

• Ist dangerouslySetInnerHTML in React sicher?

  React maskiert JSX-Text, doch dangerouslySetInnerHTML interpretiert HTML. Erfahre, wie du diese XSS-Senke prüfst und Rich Text sicher ausgibst.

• Dependency Confusion: Risiken und Schutzmaßnahmen

  Wie mehrdeutige Paketquellen unbeabsichtigte Abhängigkeiten einführen können und wie Registry-Regeln, Lockfiles und CI das Risiko senken.

• Django ORM und SQL Injection: sichere Muster

  Django-QuerySets parametrisieren Werte. Erfahre, worauf du bei Raw SQL, dynamischen Ausdrücken und Query-Strukturen achten musst.

• Docker-Socket-Offenlegung: Risiken und Schutz

  Ein offengelegter Docker-Daemon-Socket kann dessen Berechtigungen zugänglich machen. Erfahren Sie mehr über Grenzen, Capabilities und sicherere Einstellungen.

• Doctrine ORM: SQL-Injection vermeiden

  Binden Sie DQL- und SQL-Werte mit Parametern. Erfahren Sie, wo QueryBuilder injizierbar bleibt und wie dynamische Sortierung sicher wird.

• Reicht DOMPurify für sicheres innerHTML?

  DOMPurify schützt Rich-HTML am richtigen Sink. Erfahren Sie mehr über Kontextgrenzen, Änderungen danach, Trusted Types und Produktionsprüfungen.

• .NET BinaryFormatter: Risiken und Migration

  Microsoft stuft BinaryFormatter als unsicher ein. Erfahren Sie mehr über Risiken, .NET 9 und sichere Migrationswege.

• Ist .NET XmlReader gegen XXE geschützt?

  XmlReader verbietet DTDs standardmäßig. Erfahren Sie mehr über .NET Framework 4.5.2 und sicheres XML-Parsing.

• EF Core FromSqlRaw: Sicheres SQL mit Parametern

  Verwenden Sie FromSqlRaw mit getrennten Parametern. Erfahren Sie mehr über FromSqlInterpolated, EF-Core-Versionen und dynamisches SQL.

• Node.js exec() vs. execFile(): Unterschiede und Sicherheit

  Vergleichen Sie exec() und execFile() in Node.js: Shell, Argumente, Command Injection und die Wahl der passenden API.

• FastAPI SQL Injection: Was Pydantic verhindert

  FastAPI validiert Eingaben, doch SQL-Sicherheit hängt von der Abfrage ab. SQLAlchemy-Parameter und sichere dynamische Bezeichner.

• Node.js fetch() und SSRF: URLs sicher abrufen

  Serverseitiges fetch() kann nutzergesteuerte Ziele erreichen. Erfahren Sie mehr über feste Ziele, Redirects, DNS und Egress-Kontrollen.

• FreeMarker- und Velocity-SSTI: Vorlagen sicher verwenden

  FreeMarker/Velocity-SSTI: sichere Vorlagenquellen, minimale Java-Modelle und isoliertes Rendering senken das Serverrisiko.

• GitHub Actions Script-Injection: Eingaben sicher verarbeiten

  GitHub-Kontextwerte können in run zu Shell-Code werden. Erfahren Sie mehr über env, Token-Rechte und pull_request_target.

• GORM Raw SQL: SQL-Injection in Go verhindern

  Verwenden Sie gebundene Parameter mit GORM Raw. Erfahren Sie, warum Werte sicher gebunden werden und SQL-Bezeichner Allow-Lists brauchen.

• Reicht das Escapen von Anführungszeichen gegen SQL Injection?

  Nein. Parametrisierte Abfragen trennen Daten vom SQL; Escaping hängt von der Datenbank ab und ist fehleranfällig. Bezeichner per Allowlist auswählen.

• Reicht ein ORM aus, um SQL-Injection zu verhindern?

  Reicht ein ORM aus, um SQL-Injection zu verhindern?: Für seine Standard-Abfrage-API ja. Jedes gängige ORM bietet zudem einen Ausweg zu rohem SQL, und die bergen

• Java-XXE: Ist DocumentBuilderFactory standardmäßig sicher?

  JDK-Parser begrenzen einige Angriffe, blockieren externen Zugriff aber nicht standardmäßig. Sichere Einstellungen und Provider-Unterschiede.

• Java ObjectInputStream: Deserialisierung sicher gestalten

  Nicht vertrauenswürdige Java-Daten können beim Aufruf von readObject() Gadget-Verhalten auslösen. Erfahren Sie mehr über Filter und sichere Formate.

• Java Runtime.exec() und Command Injection: Was ändert sich?

  Runtime.exec(String) startet keine Shell, aber Eingaben können Argumente verändern. Nutzen Sie ProcessBuilder und validieren Sie jeden Wert.

• ReDoS in Node.js: Regex und CVE-2026-83606

  So blockiert Regex-Backtracking Node.js: der Fall CVE-2026-83606 und seine Behebung.

• Ist Jinja2s render_template_string() sicher?

  Verwende einen festen Template-String und übergib Nutzerdaten im Kontext. Erfahre mehr über SSTI, Autoescaping und den konkreten Fall CVE-2024-56201.

• Verursacht JSON.parse() Prototype Pollution?

  JSON.parse() verursacht keine Prototype Pollution. So entsteht das Risiko durch unsichere Merges und kontrollierte Schlüssel.

• Ist JSON.parse() sicherer als eval()?

  Warum JSON.parse() Eingaben als Daten behandelt, wie eval() sie ausführt und was der reviver-Callback bedeutet.

• JWT im localStorage vs. HttpOnly-Cookies: Was ist sicherer? — flawopen.com

  Architekturvergleich von JWT im localStorage und HttpOnly-SameSite-Cookies: Token-Diebstahl per XSS, CSRF-Abwägungen und empfohlene Authentifizierungsarchitekturen.

• Ist Knex.js vor SQL-Injection geschützt?

  Knex bindet Werte. Nutze Bindings in knex.raw() und eine Allowlist für dynamische SQL-Bezeichner.

• Ist lodash.merge() vor Prototype Pollution sicher?

  Lodash-Fixes hängen von Methode und Version ab. Prüfe betroffene Bereiche, aktuelle Fixversion und sichere Datenübernahme.

• Ist Markdown-Rendering vor XSS sicher?

  Markdown macht HTML nicht automatisch sicher. Erfahre, wann rohes HTML durchgereicht wird und wie du die Ausgabe absicherst.

• Mass Assignment: Risiken und sichere Feldfreigaben

  Mass Assignment lässt Request-Daten Felder ändern, die Nutzer nicht kontrollieren dürfen. So helfen Allowlisten und Autorisierung.

• MCP-Sicherheit: Tool-Grenzen | FlawOpen

  Verstehen Sie MCP-Vertrauensgrenzen und beschränken Sie lokale Tools, Berechtigungen und Einwilligungen, um Daten offenzulegen zu vermeiden.

• MyBatis ${} vs. #{}: SQL Injection verhindern

  MyBatis #{} bindet Werte über JDBC; ${} fügt rohen SQL-Text ein. Sichere Bindung und Allowlist für dynamische Bezeichner.

• MySQLi vs. PDO: sichere Prepared Statements

  MySQLi und PDO können SQL Injection mit Prepared Statements verhindern. Vergleiche Parameterbindung, Treiber und sichere Abfragemuster.

• Newtonsoft.Json TypeNameHandling: sichere Konfiguration?

  Json.NET liest CLR-Namen aus $type. Bei nicht vertrauenswürdigem JSON TypeNameHandling auf None setzen; sonst Typen mit striktem Binder prüfen.

• Next.js Server Actions: CSRF und Origin

  So prüft Next.js Origin; dazu Proxy- und allowedOrigins-Risiken und die Autorisierung jeder Aktion.

• Serverless State Bleed: Benutzerdaten pro Anfrage isolieren

  Wie wiederverwendete Serverless-Runtimes alte Benutzerdaten offenlegen können und wie Identität und Zustand je Anfrage isoliert werden.

• Schützt NHibernate vor SQL-Injection?

  NHibernate-HQL-Parameter trennen Werte von der Abfragesyntax. Erfahre, wo Interpolation und dynamische Bezeichner Risiken schaffen.

• Command-Injection-Risiko bei Node.js exec()

  Node.js exec() startet eine Shell. Erfahre, wie nicht vertrauenswürdige Eingaben Command Injection auslösen und wie execFile() mit Validierung hilft.

• Was ist eine parametrisierte Abfrage?

  Was ist eine parametrisierte Abfrage?: Eine parametrisierte Abfrage ist wie das Ausfüllen eines Formulars mit beschrifteten Feldern statt einen ganzen Brief per Hand zu schreiben. Die Datenbank erh

• Ist Prisma $queryRaw vor SQL-Injection sicher?

  Prisma parametrisiert Werte in Tagged Templates. Erfahre, wann Raw-Abfragen sicher sind und warum SQL-Bezeichner eine Allowlist brauchen.

• Ist String-Interpolation in Rails where() sicher?

  Interpolierte Request-Daten in where() können SQL Injection ermöglichen. Verwende Hash-Bedingungen oder gebundene Parameter.

• KI-Agenten absichern: Tools und Isolation

  Sichern Sie Agenten-Tools mit Benutzerrechten, Freigabe wichtiger Aktionen und isolierter Ausführung. Grenzen von Sandbox und Netzwerk.

• Ist Sequelize query() vor SQL-Injection sicher?

  Sequelize-Raw-Abfragen benötigen separate Parameter. Erfahre den Unterschied zwischen replacements, bind und SQL-Bezeichnern.

• Ist SQLAlchemy text() vor SQL-Injection sicher?

  SQLAlchemy text() nimmt rohes SQL an; binde Werte über execute(). Erfahre, warum Interpolation und dynamische Bezeichner geprüft werden müssen.

• SSRF und Cloud-Metadaten: Risiken und Schutz

  Wie SSRF Cloud-Metadaten erreicht und wie Anbieterkontrollen, minimale Rechte und Egress-Regeln das Risiko senken.

• Schützt Svelte standardmäßig vor XSS?

  Svelte escaped gewöhnliche Textausdrücke. Erfahre, warum {@html} vertrauenswürdiges oder bereinigtes HTML erfordert und wie du die Verwendung findest.

• Ist TypeORM QueryBuilder vor SQL-Injection sicher?

  TypeORM bindet QueryBuilder-Parameter. Erfahre, warum interpolierte Bedingungen, Raw-SQL und dynamische Bezeichner geprüft werden müssen.

• XSS-Risiko durch Vue v-html

  Vue escaped {{ }}-Text standardmäßig, aber v-html rendert rohes HTML. Erfahre mehr über das XSS-Risiko, Rich-Text-Schutz und Audits von .vue-Dateien.

• Cosign GHSA-fx35-mq7g-6g98: Bundle-Bypass

  Wie alte Cosign-JSON-Bundles die Identitätsprüfung umgingen und wie korrigierte Versionen CI absichern.

• MongoDB NoSQL Injection: sichere Abfragefilter

  Erfahren Sie, wie ungeprüfte JSON-Objekte MongoDB-Filter verändern, wie Sie Typen validieren und die Korrektur testen.

• Können auch numerische IDs SQL Injection verursachen?

  Auch numerische IDs sind gefährdet, wenn sie per String-Formatierung in eine Abfrage gelangen. Verstehen Sie das Risiko und verwenden Sie Parameter.

• Object.assign() und Prototype Pollution: Was ist sicher?

  Object.assign() kann das Zielobjekt über __proto__ umprototypisieren. Erfahren Sie den Unterschied zu Spread und sichern Sie tiefe Merges ab.

• Node.js path.join() verhindert Path Traversal nicht

  path.join() normalisiert Pfade, erlaubt aber ..; prüfen Sie die aufgelöste Eingrenzung und behandeln Sie Symlinks separat.

• PHP include() und benutzergesteuerte Pfade

  Wann include() Dateien offenlegt oder Code ausführt, warum RFI von der Konfiguration abhängt und wie eine feste Allowlist schützt.

• PHP == und Magic-Hash-Vergleiche

  PHP 8 vergleicht zwei numerische Zeichenketten weiter numerisch: 0e-Hashes können gleich sein. Typen prüfen und hash_equals() nutzen.

• PHP unserialize() und nicht vertrauenswürdige Daten

  PHP warnt vor unserialize() mit nicht vertrauenswürdigen Daten. Nutze JSON; authentifiziere vertrauenswürdige Daten vor dem Parsen.

• Path Traversal mit Python os.path.join() beheben

  So behandelt os.path.join() absolute Pfade und ..: Pfad auflösen und Begrenzung mit commonpath() prüfen.

• Python pickle.load(): Risiken nicht vertrauenswürdiger Daten

  Python-pickle kann beim Laden Code ausführen. Erfahre mehr über CWE-502 und ersetze nicht vertrauenswürdige Eingaben durch validiertes JSON.

• Python XML-XXE-Sicherheit: ElementTree, Expat und lxml

  Verhindert ElementTree XXE? Erfahre mehr zu Expat-Versionsrisiken, lxml-Optionen und sicherem Umgang mit nicht vertrauenswürdigem XML.

• Was ist ReDoS (katastrophales Backtracking)?

  Wie mehrdeutige Regex-Muster Denial of Service verursachen und wie sich die Laufzeit begrenzen lässt.

• Ist Ruby YAML.load sicher? Psych-Versionen und safe_load

  Prüfen Sie die Psych-Version, verwenden Sie safe_load und deserialisieren Sie nicht vertrauenswürdiges YAML oder Marshal niemals mit unsicheren APIs.

• Ist Rusts unsafe-Block weiterhin speichersicher?

  Rust unsafe, Soundness und die Lehren aus CVE-2021-25900 verständlich erklärt.

• Ersetzt SameSite=Strict CSRF-Token?

  Erfahren Sie, was SameSite=Strict und Lax schützen, wo die Grenzen bei Subdomains liegen und wann CSRF-Token zusätzlich nötig sind.

• Verhindert sqlx-Abfrageprüfung zur Kompilierzeit SQL-Injection?

  Was query! prüft, wie gebundene Parameter SQL-Injection vermeiden und wann query().bind() sicher ist.

• Was ist serverseitige Template-Injection?

  Wie SSTI funktioniert, warum die Auswirkungen von der Engine abhängen und wie nicht vertrauenswürdige Daten vom Template-Code getrennt bleiben.

• Schützen gespeicherte Prozeduren vor SQL-Injection?

  Gespeicherte Prozeduren verhindern SQL-Injection nur mit gebundenen Parametern; so sichern Sie dynamisches SQL und Bezeichner ab.

• Ist ein SVG-Upload ein XSS-Risiko?

  Wann Skripte in SVG ausgeführt werden und wie Uploads bereinigt, gerastert und isoliert werden.

• WKWebView: Nicht vertrauenswürdiges HTML?

  WKWebView rendert übergebenes HTML samt Skripten. Erfahren Sie, wann Inhalte bereinigt und native Schnittstellen geschützt werden müssen.

• Reflected, Stored und DOM-basiertes XSS: Wo liegt der Unterschied?

  Vergleichen Sie Reflected, Stored und DOM-basiertes XSS und beheben Sie jede Variante an der Rendering-Senke.

• Was ist eine Zip-Slip-Schwachstelle?

  Wie manipulierte Dateinamen in ZIP-Archiven das Extraktionsverzeichnis verlassen können und wie sich jeder Pfad sicher prüfen lässt.