パッケージの依存関係が検出されました

medium Web App Scanning プラグイン ID 113158

Language:

概要

パッケージの依存関係が検出されました

説明

プログラミング言語は、多くの場合、開発者が Web アプリケーションを構築する際にコードの依存関係を管理できるように設計されたパッケージ管理ツールとともに使用されます (例: PHP 用の Composer、NodeJS 用の NPM、Python 用の PIP...)。これらのツールは通常、依存関係をフェッチし、プロジェクトでの特定のバージョンのインストールと使用を支援するために、パブリックコードリポジトリをリクエストすることで機能します。

パッケージ構成ファイルが公開されると、攻撃者がこれを利用して、ターゲットアプリケーションで使用されているソフトウェアコンポーネントを推測し、さらなる攻撃を仕掛ける可能性があります。

ソリューション

適切な権限を設定し、パッケージ管理ツールのファイルがアプリケーションと一緒にデプロイされていないこと、または少なくとも Web サーバーディレクトリで公開されていないことを確認してください。アプリケーションで使用されているソフトウェアコンポーネントをレビューし、それらが求められていることや、信頼できる配布元からのものであることを確認します。