asp.net - ASP.NET で VeraCode CWE ID 918 - (SSRF) を修正できない

Question

簡単に言えば、私が何を試しても、VeraCode はコードの 8 行に CWE 918 の欠陥としてフラグを立て続けます。これは古いコードなので、なぜ突然フラグが立てられるのかわかりません。

これは、フラグが立てられた行が太字になっている[問題のある]メソッドの例です

  public virtual async Task<HttpResponseMessage> Put(string controller = "", Dictionary<string, object> parameters = null, object body = null)
        {
            if (string.IsNullOrWhiteSpace(ApiBaseUrl)) return null;
            HttpResponseMessage response = null;

            using (var client = GetHttpClient())
            {
                client.BaseAddress = new Uri(ApiBaseUrl);

                if (!string.IsNullOrEmpty(Token)) client.DefaultRequestHeaders.Add("Token-Key", Token);
                if (!string.IsNullOrEmpty(DeviceId)) client.DefaultRequestHeaders.Add("DeviceId", DeviceId);

                var url = GenerateUrl(controller, parameters);

                var requestBody = GeneratedHttpContent(body);
                if (requestBody == null) requestBody = new StringContent("");

                **response = await client.PutAsync(url, requestBody);**

                await LogError(response);
                return response;
            }
        }

これは、拡張メソッドを使用して URL を検証する、私が提案した修正です。

var url = GenerateUrl(controller, parameters);

                var requestBody = GeneratedHttpContent(body);
                if (requestBody == null) requestBody = new StringContent("");

                **if (url.IsValidUrl())
                {
                    response = await client.PutAsync(url, requestBody);
                }
                else
                {
                    response = new HttpResponseMessage(HttpStatusCode.BadRequest);
                }**

                await LogError(response);
                return response;

VeraCode 属性を持つ拡張メソッドは次のとおりです。

        [RedirectUrlCleanser]
        public static bool IsValidUrl(this string source)
        {
            return Uri.TryCreate(source, UriKind.RelativeOrAbsolute, out Uri uriResult) && Uri.IsWellFormedUriString(source, UriKind.RelativeOrAbsolute);
        }

属性に基づいて VeraCode に自動的に軽減させることはできますが、クライアントは独自のスキャンを実行するため、その設定は有効になりません。

これを解決する方法についてのアイデアをいただければ幸いです。