ZAP сообщает, что существует уязвимость обхода пути. Как это нашел?

Question

Я тестировал веб-приложение с ZAP, и оно сообщает об уязвимости обхода пути. Я понимаю, как это работает (по крайней мере, мне так кажется), поэтому я просмотрел код, протестировал URL-адреса, но не смог найти, где можно исправить уязвимость. Я только из ZAP знаю, что проблема только в URL /service/book и параметр category, Интересно, что остальная часть приложения не имеет такой же проблемы.

Может быть, если я узнаю, как ZAP его нашел, это поможет мне понять, в чем проблема, и исправить приложение. Знаете ли вы, как я могу проверить, что ZAP сделал для обнаружения уязвимости?

Answer 1

Вот исходный код этого теста: https://github.com/zaproxy/zap-extensions/blob/master/src/org/zaproxy/zap/extension/ascanrules/TestPathTraversal.java

Это помогает?

Саймон (руководитель проекта ZAP)