Veracode缺陷CWE-93：CRLF序列的不正确中和（'CRLF注入'）

Question

我一直在研究一个veracode缺陷，我相信它已经被修复，因为我们已经在做编码了。forJava。但它仍被视为一个缺陷进行扫描。如果我错过了什么，有人能帮我吗？以下是代码片段：

InternetAddress[] addressCC = { new InternetAddress(Encode.forJava(strCc)) };
msg.setRecipients(Message.RecipientType.CC, addressCC);

非常感谢你的帮助。

Answer 1

不要使用复数形式的方法。

相反：

如果您只有一个电子邮件地址要添加，您可以使用以下内容：

msg.setRecipient(Message.RecipientType.CC, new InternetAddress(Encode.forJava(address)));

如果您需要添加多个地址，您可以像这样多次调用addRecipient（）：

for (String address: recipients) {
    msg.addRecipient(Message.RecipientType.TO, new InternetAddress(Encode.forJava(address)));
}