Dotnetnuke 6.0.x < 9.11.0 多個弱點 (09.11.00)
critical Nessus Plugin ID 165701
語系：
概要
遠端 Web 伺服器上執行的 ASP.NET 應用程式受到多個弱點的影響。說明
根據其自我報告的版本，遠端 Web 伺服器上執行的 Dotnetnuke 執行個體是 9.11.0 之前的 6.0.x 版。因此，它會受到多個弱點影響。- 第三方相依性 Moment.js 發佈了針對其庫的安全性更新。問題修復方法 DNN Platform 9.11.0 已將此相依性升級至最新版本，解決了發行時與此相依性有關的所有已知安全性問題。受影響的版本 9.0.0 - 9.10.2 (2022-01)
- DNN Platform 使用名為 CKEditor 的第三方 WYSIWYG 編輯器，此編輯器公開了數個高優先級的安全性問題。問題修復方法 DNN Platform 9.11.0 已更新爲 CKE 4.18.0 版，並移除某些外掛程式以解決多個安全性公告提及的問題。如果您使用的不是提供的外掛程式，我們建議您檢查這些外掛程式是否有可用的更新。受影響的版本。8.0.0 - 9.10.2 (2022-02)
- 存在一個問題，經驗證的使用者可特製資料承載，允許在特定組態的安裝頁面上任意執行 JavaScript 程式碼。問題修復方法 DNN Platform 9.11.0 引入了針對受影響區域的變更，以確保所有資料顯示和儲存都受到保護。受影響的版本 7.0.0 - 9.10.2 (2022-03)
- 惡意使用者可藉由特別建構的要求，在 Digital Assets Manager 中執行 XSS 承載。
問題修復方法 已從 9.11.0 版的所有安裝檔案中移除 Digital Assets Manager 模組。已在舊版安裝中移除 Digital Asset Manager 的使用者不受此問題影響。受影響的版本 7.0.0 - 9.10.2 (2022-04)
- DNN Platform 使用 jQuery 和 jQuery UI，此兩者已發佈多個安全性公告。問題修復方法 9.11.0 中的JQuery 和 jQuery UI 已更新至最新版本。受影響的版本 8.0.0 - 9.10.2 (2022-05)
- DNN Platform 爲編輯器發佈了第三方延伸模組，此模組可能允許重新導向至未受信任的目的地。問題修復方法。已從 DNN Platform 9.11.0 版中移除受影響的元件。受影響的版本 8.0.0 - 9.10.2 (2022-06)
- DNN Platform 的部分管理功能使用了 KnockoutJS，此程式庫的發佈者提到一些新的安全性弱點。問題修復方法 DNN Platform 9.11.0 已更新至最新版的 Knockout 受影響的版本 9.0.0 - 9.10.2 (2022-07)
- DNN 系統管理員功能錯誤地允許其他系統管理員檢視儲存的憑證。問題修復方法 DNN Platform 9.11.0 已更新介面，以確保先前儲存的憑證無法被檢視。受影響的版本 9.0.0 - 9.10.2 (2022-08)
- DNN Platform 使用 Newtonsoft JSON 進行 api 序列化，而此程式庫的製作者發佈了高優先級安全公告。問題修復方法 DNN Platform 9.11.0 已更新至最新版本。
受影響的版本 6.0.0 - 9.10.2 (2022-09)
- DNN Platform 已發佈並使用 SharpZipLib 來提供檔案壓縮功能。此程式庫的製作者發佈了高優先級安全公告。問題修復方法 DNN Platform 9.11.0 已更新至最新版本。受影響的版本 6.0.0 - 9.10.2 (2022-10)
- DNN Platform 使用 log4net 進行應用程式記錄，而此程式庫的製作者發佈了高優先級安全公告。問題修復方法 DNN Platform 9.11.0 已更新至最新版本。受影響的版本 6.0.0 - 9.10.2 (2022-11)
- 超級使用者可透過特別建構的要求，取得 DNN Platform 安裝目錄中的任意檔案內容。問題修復方法 DNN Platform 9.11.0 版已解決此問題 受影響的版本 9.0.0 - 9.10.2 (2022-12)
- 可利用自訂的驗證提供程式規避傳統上在遵循特定存取順序的應用程式記錄時完成的邏輯。問題修復方法 已在 9.11.0 版中透過調整處理程序流程解決此問題。受影響的版本 7.4.2 - 9.10.2 (2022-13)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Dotnetnuke 9.11.0 或更新版本。Plugin 詳細資訊
嚴重性: Critical
ID: 165701
檔案名稱: dotnetnuke_9_11_0.nasl
版本: 1.2
類型: remote
系列: CGI abuses
已發布: 2022/10/5
已更新: 2022/10/5
組態: 啟用徹底檢查
支援的感應器: Nessus
風險資訊
CVSS 評分論據: Score based on analysis of the vendor advisory.
CVSS v2
風險因素: Medium
基本分數: 6.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: manual
CVSS v3
風險因素: Critical
基本分數: 9.1
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
弱點資訊
CPE: cpe:/a:dotnetnuke:dotnetnuke
必要的 KB 項目: installed_sw/DNN
修補程式發佈日期: 2022/9/28
弱點發布日期: 2022/9/28