# Unrestricted Upload of File with Dangerous Type (CWE-434)

The product allows the upload of files without properly validating the file type, which can lead to execution of malicious code.

**Stack:** Go

- Prevalence: Wysoka Często wykorzystywana
- Impact: Wysoki 3 reguł o wysokim poziomie
- Prevention: Udokumentowane 3 przykładów poprawek

**OWASP:** Broken Access Control (A01:2021-Broken Access Control) - #1

## Description

When users can upload files without restriction, attackers may upload executable files, scripts, or other dangerous content that can be executed by the server or other users.

## Prevention

Strategie zapobiegania dla Unrestricted File Upload oparte na 1 regułach detekcji Shoulder.

### Go

Validate file type, enforce size limits, and use generated filenames for uploads

## Warning Signs

- [HIGH] File upload lacks proper validation

## Consequences

- Wykonanie nieautoryzowanego kodu
- Odczyt danych aplikacji
- Modyfikacja danych aplikacji

## Mitigations

- Waliduj typy plików po stronie serwera, nie tylko po rozszerzeniu
- Pliki przesłane przez użytkownika przechowuj poza katalogiem głównym serwera WWW
- Stosuj listę dozwolonych typów plików
- Zmieniaj nazwy przesyłanych plików, aby zapobiec ich wykonaniu

## Detection

- Total rules: 3
- Languages: go, javascript, typescript, python

## Rules by Language

### Go (1 rules)

- **Unsafe File Upload** [HIGH]: File upload processed without type validation, size limits, or filename sanitization.
  - Remediation: Validate file type, limit size, and use a generated filename.

```go
r.Body = http.MaxBytesReader(w, r.Body, 10*1024*1024) // 10 MB limit
file, header, _ := r.FormFile("file")

ext := filepath.Ext(header.Filename)
safeFilename := uuid.New().String() + ext
dst, _ := os.Create(filepath.Join("/var/uploads", safeFilename))
io.Copy(dst, file)
```

Learn more: https://shoulder.dev/learn/go/cwe-434/unsafe-file-upload