ISVforce ガイド
jCheckmarx スキャン結果の偽陽性への対応例
この例は、Checkmarx スキャン結果の偽陽性への対応をドキュメント化する方法を示しています。この例は表形式ですが、情報の報告に適していれば、どのような形式でも使用できます。
| 報告された脆弱性 | 場所 | 返答 |
|---|---|---|
| FLS 更新 | パス 1–17 | これらのパスを検査したり、エラーを発生させたりするために、AuthManager クラスを実装してコールしました。これは、ControllerFile.cls の行 241、245、および 249 で確認できます。 |
| FLS 更新 | パス 18-24 | 修正済みで有効です。 |
| FLS 更新 | パス 25、26、および 30 | カスタムオブジェクト UsageLog__c に反しており、ユーザの使用は意図されていません。ユーザに直接公開されることはありません。 |
| FLS 更新 | パス 27-29 | ユーザ入力に関係なく、新規作成オブジェクトを適切にカウントするために Account.NumberRelatedIssues__c 項目を更新する必要があります。 |
| 共有違反 | BatchCleanData.cls | このクラスがコールする関数を最小限に抑え、without sharing が必要な最小セットのみコールされるようにしました。 |
| 共有違反 | LightningController.cls | 宣言を with sharing に変更しました。 |
| 共有違反 | GlobalIssueReporting.cls | コール側クラスで必要なコンテキストが不明であるため、継承された共有に変更しました。 |
| 保存された XSS | Issue.page ファイル: パス 1–3 | reportIssueList は、objectID + ' ' + 整数のリストです。XSS リスクはありません。 |
| 保存された XSS | Issue.page ファイル: パス 4 | escape=”false” を削除して修正済み。 |
| 保存された XSS | Issue.page ファイル: パス 5-8 | Salesforce SecureFilters ライブラリを使用して、JavaScript で usageLog をサニタイズしました。 |