根據其自我報告的版本，遠端 Web 伺服器上執行的 Dotnetnuke 執行個體是 9.6.0 之前的 3.1.x 版、9.6.0 之前的 5.0.x 版、9.6.0 之前的 6.0.x 版或 9.6.0 之前的 7.0.x 版。因此，它會受到多個弱點影響。

  - 被捨棄到回收站的模組仍可回應其端點的 API 呼叫，因為該模組並未視覺化顯示，因而這可以在不被注意的情況下造成資料上傳和其他互動。減輕風險的因素 這只會影響使用遵循 DNN 安全性通訊協定的 WebAPI 介面的模組 (這是模組的一個較小子集)。此外，互動仍受到所有其他安全性規則的約束，就如同模組已放置在頁面上一樣。此問題的修正 需要升級至 DNN 平台 9.5.0 版或更新版本 受影響的 DNN 平台 6.0.0 至 9.4.4 版 (2020-01)

  - 惡意使用者可在未經網站驗證的情況下，以他們所選內容取代或更新具有特定副檔名的檔案。
    此問題的修正 若要修復此問題，需要將 DNN 平台升級至 (9.5.0 或更新版本)。受影響的版本 DNN 平台 5.0.0 至 9.6.0 版  致謝 DNN 社群感謝以下人員發現此問題並/或協助我們一起保護使用者：DotControl Digital Creatives 的 Robbert Bosker 相關 CVE：CVE-2019-19790 (2020-02)

  - 已更新數個較舊的 JavaScript 程式庫，關閉多個個別的安全性通知。
    問題的修正 由於所包含元素的特性，再加上它們與 DNN 平台結合使用，因此升級至 DNN 平台 9.5.0 或更新版本是解決此問題的唯一方案。受影響的版本 DNN 平台 6.0.0 至 9.4.4 版 (2020-03)

  - 惡意使用者可上傳具有特定組態的檔案，並指示 DNN 平台解壓縮該檔案。此程序可覆寫使用者未取得權限的檔案，而且不會讓系統管理員發現。此問題的修正 修正此問題的唯一正確方法是升級至 DNN 平台 9.6.0 或更新版本。受影響的版本 DNN 平台 5.0.0 至 9.5.0 版。(據信這也可能會影響 3.x 和 4.x 版，但尚未經過驗證) (2020-05)

  - 惡意使用者可利用處理程序在訊息中加入他們可能沒有權限檢視/上傳的檔案，而他們可能會利用 DNN File 系統運作的方法取得此檔案的存取權限。減輕風險因素 使用安全資料夾類型設定的安裝程式不會洩漏檔案內容。建議採用此方式來保證機密文件的檔案安全性，因為這是在下載時提供安全檔案檢查的唯一方法。此問題的修正 若要修復此問題，需要將 DNN 平台升級至 (9.6.0 或更新版本)。致謝 DNN 社群感謝下列人員協助解決此問題。Connor Neff 受影響的版本 DNN 平台 7.0.0 至 9.5.0 版。(2020-06)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Dotnetnuke 3.1.x < 9.6.0 / 5.0.x < 9.6.0 / 6.0.x < 9.6.0 / 7.0.x < 9.6.0 多個弱點 (09.06.00)

critical Nessus Plugin ID 137055

找不到依附元件