遠端 Debian 11 主機上安裝的一個套件受到 dsa-4962 公告中提及的多個弱點影響。

  - LedgerSMB 不會檢查併入瀏覽器 DOM 的 HTML 片段來源。透過傳送特製 URL 給經過驗證的使用者，可濫用此缺陷造成遠端程式碼執行和資訊洩漏。(CVE-2021-3693)

  - LedgerSMB 未對傳送至瀏覽器的錯誤訊息進行充分的 HTML 編碼。透過傳送特製 URL 給經過驗證的使用者，可濫用此缺陷造成遠端程式碼執行和資訊洩漏。(CVE-2021-3694)

  - LedgerSMB 無法充分防止被其他網站包裝，這會導致其容易受到「點擊劫持」影響。攻擊者可藉此誘騙目標使用者執行非預期的動作。
    (CVE-2021-3731)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-4962-1：Ledrsmb - 安全性更新

critical Nessus Plugin ID 152775

找不到變更記錄