根據應用程式自我報告的版本，遠端主機上執行的 ManageEngine ADSelfService Plus 應用程式為 build 6122 之前版本。因此，它受到命令插入弱點影響，遠端經驗證的系統管理員可以透過原則自訂指令碼功能以 SYSTEM 權限執行任意 OS 命令。由於使用預設的系統管理員密碼，因此攻擊者可輕易濫用此功能。
此外，由於未清理的密碼欄位，遠端和部分驗證的攻擊者或能夠將任意命令插入自訂指令碼。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

ManageEngine ADSelfService Plus < build 6122 命令插入

medium Nessus Plugin ID 172490

版本 1.0