Как остановить внедрение команд оболочки весной
У нас есть несколько дыр в безопасности, о которых сообщается в нашем отчете Qualys, в котором говорится, что команды могут быть введены с использованием URL-адреса, как показано ниже.
/adc/Acc?sort=popular%26q=%3Apopular%3Aall%3A~WATCHES%26show=ping%20-c2%20-i91%20localhost
Здесь группа безопасности успешно смогла ввести команду ping, но они говорят, что с таким же успехом могли ввести более опасную команду.
Я могу добавить шаблон фильтра xss, чтобы удалить любое слово с "ping" в нем, но это не остановит выполнение других команд, и клиенты не смогут использовать поисковое слово, содержащее "ping".
Есть ли более чистый и рекомендуемый подход, чтобы исправить это весной?