根據版本號碼來判斷，遠端主機正在執行的 CuteNews 版本允許攻擊者在新增評論時透過變數「X-FORWARDED-FOR」或「CLIENT-IP」注入任意指令碼。一方面，攻擊者可在選擇編輯新增的評論時，注入將由系統管理員的瀏覽器執行的用戶端指令碼。另一方面，具有本機存取權的攻擊者可利用此缺陷，在 Web 伺服器使用者的內容中執行任意 PHP 程式碼。 

此外，此軟體還受到一個涉及「search.php」指令碼的跨網站指令碼缺陷影響。

偵測

CuteNews <= 1.3.6 多個 XSS 弱點

low Nessus Plugin ID 17256

找不到變更記錄