目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1000 元

100.0%
请我们喝杯咖啡

CWE-1007 屏幕显示出的不同编码的同形字母不易区分 类漏洞列表 2

CWE-1007 屏幕显示出的不同编码的同形字母不易区分 类弱点 2 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-1007属于视觉混淆类漏洞，指系统未能有效区分视觉上相似的同形异义字。攻击者常利用此缺陷，通过替换易混淆字符伪装成合法标识，诱导用户误判并执行非预期操作，如点击恶意链接或确认错误交易。开发者应避免使用仅靠字形区分的标识，引入颜色、形状或上下文提示等辅助视觉特征，确保关键信息在视觉上具有显著差异，从而防止用户误解。

MITRE CWE 官方描述
CWE：CWE-1007 向用户呈现的同形字（Homoglyphs）视觉区分不足 英文：产品向用户显示信息或标识符，但其显示机制未使用户能够轻松区分视觉上相似或相同的字形（同形字），这可能导致用户误解某个字形并执行非预期的、不安全的操作。 某些字形、图片或图标在程序语义上可能截然不同，但在人类用户看来却非常相似或完全相同。这些被称为同形字（Homoglyphs）。例如，小写字母“l”（ell）和大写字母“I”（eye）具有不同的字符编码，但根据字体的不同，这些字符向用户显示的方式可能完全相同。这种情况也可能发生在不同字符集之间。例如，拉丁字母大写字母“A”和希腊字母大写字母“Α”（Alpha）在程序中被视为不同的字符，但向用户显示时可能完全相同。重音符号也可能导致字母看起来非常相似，例如带有重音符的拉丁大写字母“À”和带有锐音符的等效字母“Á”。攻击者可以利用这种视觉相似性发起钓鱼（Phishing）等攻击，例如提供一个指向攻击者控制的域名的链接，该域名在视觉上看起来像是受害者信任的域名。在同形字的另一种应用场景中，攻击者可能创建一个与常规用户用户名视觉上相似的恶意用户名，这使得系统管理员在审查日志时更难检测到该恶意用户名。
常见影响 (1)
Integrity, ConfidentialityOther
An attacker may ultimately redirect a user to a malicious website, by deceiving the user into believing the URL they are accessing is a trusted domain. However, the attack can also be used to forge log entries by using homoglyphs in usernames. Homoglyph manipulations are often the first step towards…
缓解措施 (2)
ImplementationUse a browser that displays Punycode for IDNs in the URL and status bars, or which color code various scripts in URLs. Due to the prominence of homoglyph attacks, several browsers now help safeguard against this attack via the use of Punycode. For example, Mozilla Firefox and Google Chrome will display IDNs as Punycode if top-level domains do not restrict which characters can be used in domain nam…
ImplementationUse an email client that has strict filters and prevents messages that mix character sets to end up in a user's inbox. Certain email clients such as Google's GMail prevent the use of non-Latin characters in email addresses or in links contained within emails. This helps prevent homoglyph attacks by flagging these emails and redirecting them to a user's spam folder.
代码示例 (2)
The following looks like a simple, trusted URL that a user may frequently access.
http://www.еxаmрlе.соm
Attack
The following displays an example of how creating usernames containing homoglyphs can lead to log forgery.
123.123.123.123 аdmіn [17/Jul/2017:09:05:49 -0400] "GET /example/users/userlist HTTP/1.1" 401 12846 123.123.123.123 аdmіn [17/Jul/2017:09:06:51 -0400] "GET /example/users/userlist HTTP/1.1" 200 4523 123.123.123.123 admin [17/Jul/2017:09:10:02 -0400] "GET /example/users/editusers HTTP/1.1" 200 6291 123.123.123.123 аdmіn [17/Jul/2017:09:10:02 -0400] "GET /example/users/editusers HTTP/1.1" 200 6291
Result
CVE ID标题CVSS风险等级Published
CVE-2025-27611 base-x 安全漏洞 — base-x 4.3AIMediumAI2025-04-30
CVE-2025-0996 Google Chrome 安全漏洞 — Chrome 6.5 -2025-02-15

CWE-1007（屏幕显示出的不同编码的同形字母不易区分） 是常见的弱点类别，本平台收录该类弱点关联的 2 条 CVE 漏洞。