flawopen.com/निर्देशिका/संदर्भ

डेवलपर सुरक्षा संदर्भ गाइड

Framework, ORM, authentication, serverless application और AI agent execution से जुड़ी सुरक्षा धारणाओं की जाँच के लिए इन संदर्भों का उपयोग करें। हर गाइड तकनीकी विवरण के साथ समस्या और सुधार को समझाती है।

• Claude Code MemoryTrap: AI मेमोरी पॉइज़निंग — flawopen.com

  Cisco का MemoryTrap खुलासा: Claude Code की स्थायी मेमोरी, v2.1.50 सुधार और एजेंट सुरक्षा नियंत्रण।

• AI एजेंट सैंडबॉक्स: कंटेनर और माइक्रोVM

  AI एजेंटों के लिए कंटेनर, gVisor और माइक्रोVM अलगाव सीमाओं की तुलना।

• AI एजेंट टूल का सुरक्षित दायरा

  सीमित टूल, उपयोगकर्ता-स्तर अनुमति और न्यूनतम अधिकार से AI एजेंट की अत्यधिक एजेंसी घटाएँ।

• AI PR बॉट: SSRF से सुरक्षा — flawopen.com

  अविश्वसनीय pull request पाठ AI टूल को कैसे प्रभावित कर सकता है और बॉट की अनुमतियाँ व नेटवर्क पहुँच कैसे सीमित करें।

• Android addJavascriptInterface के सुरक्षा जोखिम

  जानें कि WebView bridge सभी frames में native methods कैसे खोलता है, XSS कब app की क्षमताओं तक पहुँचता है और अविश्वसनीय पेज अलग कैसे रखें।

• Angular XSS सुरक्षा: सुरक्षित defaults और bypass APIs

  Angular टेक्स्ट escape करता है और HTML व URL साफ़ करता है। जानें bypassSecurityTrust* सुरक्षा कहाँ हटाता है और XSS sinks कैसे जाँचें।

• MIME sniffing XSS: Content-Type और nosniff

  जानें MIME sniffing कैसे upload को browser document बना सकता है, nosniff क्या करता है और files सुरक्षित रूप से कैसे serve करें।

• क्या strncpy(), strcpy() से अधिक सुरक्षित है?

  C में strncpy() strcpy() का एक जोखिम घटाता है, पर null terminator की गारंटी नहीं देता। जानें snprintf और strlcpy का परिणाम कैसे जाँचें।

• CSP और output escaping: क्या दोनों चाहिए?

  संदर्भ के अनुसार output encoding XSS रोकता है; CSP किसी चूक के प्रभाव को सीमित कर सकता है। जानें दोनों परतें कैसे जोड़ें।

• GET के लिए CSRF token कब चाहिए?

  सुरक्षित GET से state नहीं बदलना चाहिए। जानें किन unsafe methods पर CSRF token लगाएँ और पुराने state-changing GET को कैसे सुधारें।

• CWE बनाम CVE: क्या अंतर है?

  CWE बनाम CVE: क्या अंतर है?: CWE श्रेणी है — बग का एक प्रकार, जैसे "SQL इंजेक्शन" (CWE-89)। CVE उदाहरण है — एक विशिष्ट, प्रलेखित घटना

• क्या React का dangerouslySetInnerHTML सुरक्षित है?

  React JSX टेक्स्ट को escape करता है, लेकिन dangerouslySetInnerHTML HTML पार्स करता है। XSS sink जाँचें और rich text सुरक्षित दिखाएँ।

• Dependency Confusion: जोखिम और बचाव

  जानें कि package source की अस्पष्टता अनचाही dependency कैसे जोड़ सकती है और registry नीति, lockfile तथा CI नियंत्रण जोखिम कैसे घटाते हैं।

• Django ORM और SQL Injection: सुरक्षित तरीके

  Django QuerySet values को parameterize करता है। Raw SQL, dynamic expressions और query structure की समीक्षा करना सीखें।

• Docker सॉकेट का खुलासा: जोखिम और बचाव

  Docker डेमन सॉकेट का खुला होना डेमन के अधिकार दे सकता है। सीमाएँ, capabilities के जोखिम और सुरक्षित कंटेनर सेटिंग समझें।

• Doctrine ORM में SQL Injection: सुरक्षित queries

  DQL/SQL values को parameters से bind करें। QueryBuilder के जोखिम और सुरक्षित dynamic sorting जानें।

• क्या innerHTML के लिए DOMPurify पर्याप्त है?

  सही HTML sink पर DOMPurify rich HTML की रक्षा करता है। Context की सीमाएँ, बाद के बदलाव, Trusted Types और production जाँच जानें।

• .NET BinaryFormatter: जोखिम और माइग्रेशन

  Microsoft के अनुसार BinaryFormatter सुरक्षित नहीं बनाया जा सकता। जोखिम, .NET 9 का व्यवहार और माइग्रेशन विकल्प जानें।

• क्या .NET XmlReader XXE से सुरक्षित है?

  XmlReader डिफ़ॉल्ट रूप से DTD रोकता है। .NET Framework 4.5.2 में हुए बदलाव, पुराने API के अंतर और सुरक्षित XML parsing जानें।

• EF Core FromSqlRaw: सुरक्षित पैरामीटरयुक्त SQL

  FromSqlRaw में जोड़े हुए इनपुट के बजाय अलग पैरामीटर दें। FromSqlInterpolated, EF Core संस्करण और सुरक्षित dynamic SQL समझें।

• Node.js exec() बनाम execFile(): अंतर और सुरक्षा

  Node.js में exec() और execFile() की तुलना: shell, arguments, command injection और सही API का चुनाव।

• FastAPI SQL इंजेक्शन: Pydantic क्या रोकता है और क्या नहीं

  FastAPI अनुरोध डेटा की जाँच करता है, लेकिन SQL की सुरक्षा क्वेरी बनाने के तरीके पर निर्भर करती है। SQLAlchemy पैरामीटर बाइंडिंग और डायनेमिक पहचानकर्ताओं को सुरक्षित रखने का तरीका जानें।

• Node.js fetch() SSRF: URL सुरक्षित तरीके से लें

  सर्वर का fetch() उपयोगकर्ता-चुने गंतव्य तक पहुँच सकता है। तय गंतव्य, redirects, DNS और egress सीमाएँ जानें।

• FreeMarker और Velocity SSTI: टेम्पलेट सुरक्षा

  टेम्पलेट का स्रोत नियंत्रित करें, उपलब्ध Java ऑब्जेक्ट सीमित करें और FreeMarker तथा Velocity में SSTI जोखिम घटाने के लिए रेंडरिंग अलग रखें।

• GitHub Actions स्क्रिप्ट इंजेक्शन: सुरक्षित इनपुट

  GitHub संदर्भ मान run में डालने पर shell कमांड बन सकते हैं। env, token अधिकार और pull_request_target जोखिम समझें।

• GORM Raw SQL: Go में SQL injection रोकें

  GORM Raw में bound parameters इस्तेमाल करें। जानें कि values सुरक्षित क्यों हैं, SQL identifiers के लिए allowlist क्यों चाहिए और queries कैसे जाँचें।

• क्या Quotes Escape करना SQL Injection रोकने के लिए काफ़ी है?

  नहीं। Parameterized queries डेटा को SQL से अलग रखती हैं; escaping डेटाबेस पर निर्भर और त्रुटिपूर्ण हो सकती है। Identifiers के लिए allowlist चुनें।

• SQL इंजेक्शन रोकने के लिए ORM का उपयोग काफ़ी है?

  SQL इंजेक्शन रोकने के लिए ORM का उपयोग काफ़ी है?: इसकी मानक क्वेरी API के लिए, हाँ। हर प्रमुख ORM कच्चे SQL का एक escape hatch भी देता है, और वे

• Java XXE: क्या DocumentBuilderFactory सुरक्षित है?

  JDK parser कुछ हमलों को सीमित करते हैं, पर बाहरी पहुँच डिफ़ॉल्ट रूप से बंद नहीं होती। सुरक्षित सेटिंग और provider अंतर जानें।

• Java ObjectInputStream सुरक्षा: डीसिरियलाइज़ेशन जोखिम घटाएँ

  अविश्वसनीय Java डेटा, readObject() के दौरान gadget व्यवहार चला सकता है। फ़िल्टर, सुरक्षित प्रारूप और पुराने streams की सुरक्षा जानें।

• Java Runtime.exec() और Command Injection: क्या बदलता है?

  Runtime.exec(String) shell शुरू नहीं करता, पर input arguments बदल सकता है। ProcessBuilder इस्तेमाल करें और हर value जाँचें।

• Node.js ReDoS: Regex और CVE-2026-83606

  जानें कि regex backtracking Node.js को कैसे रोकता है, CVE-2026-83606 और उसके fixes।

• क्या Jinja2 का render_template_string() सुरक्षित है?

  ऐप द्वारा तय टेम्पलेट स्ट्रिंग इस्तेमाल करें और उपयोगकर्ता डेटा कॉन्टेक्स्ट में दें। SSTI, autoescape और CVE-2024-56201 की शर्तें समझें।

• क्या JSON.parse() प्रोटोटाइप प्रदूषण करता है?

  JSON.parse() प्रोटोटाइप को प्रदूषित नहीं करता। असुरक्षित मर्ज और नियंत्रित कुंजियों से जोखिम कैसे बनता है, जानें।

• क्या JSON.parse(), eval() से सुरक्षित है?

  जानें JSON.parse() इनपुट को डेटा क्यों मानता है, eval() उसे कैसे चलाता है और reviver कॉलबैक क्या करता है。

• localStorage में JWT बनाम HttpOnly कुकीज़: कौन ज़्यादा सुरक्षित? — flawopen.com

  localStorage में JWT और HttpOnly SameSite कुकीज़ की स्थापत्य तुलना: XSS से टोकन चोरी, CSRF के समझौते और अनुशंसित प्रमाणीकरण संरचनाएँ।

• क्या Knex.js SQL Injection से सुरक्षित है?

  Knex क्वेरी मान bind करता है। knex.raw() bindings और डायनेमिक SQL identifiers की allowlist जानें।

• क्या lodash.merge() prototype pollution से सुरक्षित है?

  Lodash के सुधार फ़ंक्शन और संस्करण के अनुसार बदलते हैं। प्रभावित सीमाएँ, मौजूदा सुधार और सुरक्षित डेटा चयन देखें।

• क्या Markdown रेंडरिंग XSS से सुरक्षित है?

  Markdown HTML को अपने-आप सुरक्षित नहीं बनाता। जानें कि कच्चा HTML कब आगे जाता है और आउटपुट को सही ढंग से कैसे साफ़ करें।

• Mass Assignment: जोखिम और सुरक्षित field allowlist

  Mass Assignment से request data ऐसे fields बदल सकता है जिन्हें user नियंत्रित नहीं करना चाहिए। Allowlist और authorization जानें।

• MCP सुरक्षा: टूल की सीमाएँ | FlawOpen

  MCP की trust boundaries समझें और डेटा उजागर होने से रोकने के लिए स्थानीय टूल, अनुमतियाँ और उपयोगकर्ता की सहमति सीमित करें।

• MyBatis ${} बनाम #{}: SQL Injection से बचाव

  MyBatis में #{} JDBC से मान bind करता है; ${} SQL text सीधे जोड़ता है। सुरक्षित binding और dynamic identifier allowlist सीखें।

• MySQLi बनाम PDO: सुरक्षित Prepared Statements

  MySQLi और PDO दोनों prepared statements से SQL Injection रोक सकते हैं। Value binding, drivers और सुरक्षित query patterns की तुलना।

• Newtonsoft.Json TypeNameHandling: सुरक्षित सेटिंग

  Json.NET, $type से CLR नाम पढ़ता है। अविश्वसनीय JSON के लिए None रखें; अन्यथा सख्त binder से प्रकारों की पुष्टि करें।

• Next.js Server Actions CSRF: Origin और सुरक्षित कॉन्फ़िगरेशन

  जानें कि Next.js Origin कैसे जाँचता है, proxy और allowedOrigins के भरोसे के जोखिम क्या हैं, और हर action को कैसे अधिकृत करें।

• Serverless डेटा रिसाव: अनुरोध के अनुसार अलगाव

  जानें कि दोबारा उपयोग किए गए serverless runtime पुराने उपयोगकर्ता डेटा को कैसे उजागर कर सकते हैं और request के अनुसार पहचान व स्थिति कैसे अलग रखें।

• क्या NHibernate SQL Injection से बचाता है?

  NHibernate के HQL parameters मानों को query syntax से अलग रखते हैं। जानें कि interpolation और dynamic identifiers में क्या जोखिम हैं।

• Node.js exec() में command injection का जोखिम

  Node.js exec() shell चलाता है। जानें कि अविश्वसनीय इनपुट से command injection कब हो सकता है और execFile() व validation इसे कैसे रोकते हैं।

• पैरामीटराइज़्ड क्वेरी क्या है?

  पैरामीटराइज़्ड क्वेरी क्या है?: पैरामीटराइज़्ड क्वेरी पूरी चिट्ठी हाथ से लिखने के बजाय लेबल वाले ख़ाली स्थानों वाला फ़ॉर्म भरने जैसी है। डेटाबेस को पह

• क्या Prisma $queryRaw SQL Injection से सुरक्षित है?

  Prisma tagged template के मानों को पैरामीटर बनाता है। जानें कि raw queries कब सुरक्षित हैं और SQL identifiers के लिए allowlist क्यों चाहिए।

• क्या Rails where() में string interpolation सुरक्षित है?

  where() में request data interpolate करने से SQL Injection हो सकता है। Hash conditions या bound parameters इस्तेमाल करें।

• AI एजेंट टूल सुरक्षा और पृथक्करण

  उपयोगकर्ता-आधारित प्राधिकरण, उच्च-प्रभाव कार्यों की स्वीकृति और पृथक निष्पादन से AI टूल सुरक्षित करें। सैंडबॉक्स और नेटवर्क की सीमाएँ समझें।

• क्या Sequelize query() SQL Injection से सुरक्षित है?

  Sequelize raw queries में अलग parameters चाहिए। जानें कि replacements, bind और SQL identifiers में क्या अंतर है।

• क्या SQLAlchemy text() SQL Injection से सुरक्षित है?

  SQLAlchemy text() raw SQL स्वीकार करता है; execute() में मान bind करें। जानें कि interpolation और dynamic identifiers की समीक्षा क्यों ज़रूरी है।

• SSRF और क्लाउड मेटाडेटा: जोखिम और बचाव

  SSRF क्लाउड मेटाडेटा तक कैसे पहुँचता है और प्रदाता नियंत्रण, न्यूनतम विशेषाधिकार तथा आउटबाउंड नियम जोखिम कैसे घटाते हैं।

• क्या Svelte डिफ़ॉल्ट रूप से XSS से सुरक्षित है?

  Svelte सामान्य टेक्स्ट expressions को escape करता है। जानें कि {@html} के लिए भरोसेमंद या साफ़ किया हुआ HTML क्यों चाहिए और इसका उपयोग कैसे खोजें।

• क्या TypeORM QueryBuilder SQL Injection से सुरक्षित है?

  TypeORM QueryBuilder parameters को bind करता है। जानें कि interpolated conditions, raw SQL और dynamic identifiers की समीक्षा क्यों चाहिए।

• Vue v-html से XSS का जोखिम

  Vue डिफ़ॉल्ट रूप से {{ }} टेक्स्ट को escape करता है, लेकिन v-html raw HTML रेंडर करता है। XSS जोखिम, rich text सुरक्षा और .vue audit जानें।

• Cosign GHSA-fx35-mq7g-6g98: Bundle बाईपास

  पुराने Cosign Bundle से पहचान-जाँच कैसे बाईपास हुई, कौन-से संस्करण इसे ठीक करते हैं और CI सत्यापन कैसे सुरक्षित करें।

• MongoDB NoSQL Injection: सुरक्षित query filters

  जानें कि बिना जाँचा JSON object MongoDB filter कैसे बदलता है, type validation कैसे करें और fix कैसे जाँचें।

• Numeric ID में SQL Injection का जोखिम

  Numeric ID भी जोखिम में है यदि उसे string formatting से query में जोड़ा जाए। कारण समझें और parameterized query अपनाएँ।

• Object.assign() और Prototype Pollution: क्या सुरक्षित है?

  Object.assign() __proto__ के ज़रिए target का prototype बदल सकता है। spread से अंतर और deep merge को सुरक्षित रखने का तरीका जानें।

• Node.js path.join() Path Traversal नहीं रोकता

  path.join() paths को normalize करता है, पर .. की अनुमति देता है। resolved containment जाँचें और symlinks का अलग ध्यान रखें।

• PHP include() और उपयोगकर्ता-नियंत्रित पथ

  जानें कि include() कब फ़ाइलें उजागर या कोड निष्पादित करता है और स्थिर अनुमति-सूची से कैसे बचाव करें।

• PHP == और Magic Hash तुलना

  PHP 8 में दो numeric strings संख्यात्मक रूप से तुलना होती हैं; 0e hashes मेल खा सकते हैं। प्रकार जाँचें; secrets के लिए hash_equals() उपयोग करें।

• PHP unserialize() और अविश्वसनीय इनपुट

  PHP अविश्वसनीय डेटा पर unserialize() न चलाने की चेतावनी देता है। JSON उपयोग करें; trusted डेटा को parse से पहले authenticate करें।

• Python os.path.join() में Path Traversal का समाधान

  os.path.join() निरपेक्ष पथ और .. को कैसे संभालता है: पथ resolve करें और commonpath() से सीमा जाँचें।

• Python pickle.load(): अविश्वसनीय डेटा का जोखिम

  Python pickle डेटा लोड करते समय कोड चला सकता है। CWE-502 समझें और अविश्वसनीय इनपुट को सत्यापित JSON से बदलें।

• Python XML XXE सुरक्षा: ElementTree, Expat और lxml

  क्या ElementTree XXE रोकता है? Expat संस्करण जोखिम, lxml विकल्प और अविश्वसनीय XML का सुरक्षित संचालन जानें।

• ReDoS (catastrophic backtracking) क्या है?

  अस्पष्ट regex सेवा को कैसे बाधित करते हैं और मिलान की लागत को सुरक्षित रूप से कैसे सीमित करें।

• क्या Ruby YAML.load सुरक्षित है? Psych संस्करण और safe_load

  Psych संस्करण जाँचें, safe_load उपयोग करें, और असुरक्षित API से अविश्वसनीय YAML या Marshal डेटा कभी deserialize न करें।

• क्या Rust का unsafe ब्लॉक मेमोरी-सुरक्षित है?

  Rust का unsafe चुनिंदा unchecked operations की अनुमति देता है। सुरक्षित callers को UB से बचाने के लिए programmer को उनके contracts निभाने होते हैं।

• क्या SameSite=Strict CSRF tokens की जगह लेता है?

  SameSite=Strict और Lax क्या रोकते हैं, subdomain के बीच उनकी सीमाएँ क्या हैं, और CSRF token कब साथ रखना चाहिए।

• क्या sqlx की compile-time query जाँच SQL injection रोकती है?

  query! क्या जाँचता है, bound parameters SQL injection कैसे रोकते हैं, और query().bind() कब सुरक्षित है।

• Server-side template injection क्या है?

  SSTI कैसे होती है, प्रभाव engine पर क्यों निर्भर करता है, और अविश्वसनीय data को template code से कैसे अलग रखें।

• क्या stored procedures SQL injection से सुरक्षित हैं?

  Stored procedures केवल bound parameters इस्तेमाल करने पर SQL injection रोकते हैं; dynamic SQL और identifiers सुरक्षित रखना सीखें।

• क्या SVG upload में XSS का जोखिम है?

  जानें SVG scripts कब चलती हैं और uploads को sanitize, rasterize तथा isolate कैसे करें।

• WKWebView: अविश्वसनीय HTML सुरक्षित?

  WKWebView स्क्रिप्ट सहित HTML रेंडर करता है। जानें कि सामग्री कब सैनिटाइज़ करें और नेटिव ब्रिज कैसे सुरक्षित रखें।

• Reflected, stored और DOM-based XSS में क्या अंतर है?

  तीनों XSS रास्तों की तुलना करें और प्रत्येक को सुरक्षित rendering sink पर ठीक करें।

• Zip Slip भेद्यता क्या है?

  जानें कि ZIP के भीतर बदले हुए फ़ाइल नाम एक्सट्रैक्शन डायरेक्टरी से बाहर कैसे लिखवा सकते हैं और हर पथ को सुरक्षित रूप से कैसे जाँचें।