Veracode缺陷CWE-93：CRLF序列的中和不当("CRLF注射")

Question

我一直在研究一个veracode漏洞，我相信这个缺陷已经被修复了，因为我们已经在做一个Encode.forJava。但它仍然被扫描为缺陷。如果我错过了什么，有人可以帮我吗？以下是代码片段：

InternetAddress[] addressCC = { new InternetAddress(Encode.forJava(strCc)) };
msg.setRecipients(Message.RecipientType.CC, addressCC);

非常感谢您的帮助。

Answer 1

不要使用复数形式方法setRecipients()。

相反：

如果您只有一个电子邮件地址要添加，则可以使用以下命令：

msg.setRecipient(Message.RecipientType.CC, new InternetAddress(Encode.forJava(address)));

如果您需要添加多个地址，您可以像这样多次拨打addRecipient()：

for (String address: recipients) {
msg.addRecipient(Message.RecipientType.TO, new InternetAddress(Encode.forJava(address)));
}