Dotnetnuke < 10.3.3 HTML 模組內容的選用 JavaScript 限制 （GHSA-mjq6-87j6-5f4g）
high Nessus Plugin ID 339554
語言:
概要
遠端 Web 伺服器上執行的 ASP.NET 應用程式受到一個弱點影響。說明
根據其自我報告的版本，在遠端 Web 伺服器上執行的 Dotnetnuke 實例早於 10.3.3。因此，會受到一個弱點影響。
- HTML 模組歷來允許受信任的內容編輯器在 HTML 內容中包含 JavaScript。已新增安全性選項，可讓管理員防止可執行指令碼儲存在 HTML 模組內容中，從而降低在內容編輯器不完全信任的環境中發生跨網站指令碼 （XSS） 的風險。HTML 模組傳統上允許具有內容編輯權限的使用者建立豐富的 HTML 內容，包括 JavaScript。雖然在許多受信任內容編輯器的部署中預期會有此行為，但在內容編輯權限委派給不應允許執行用戶端程式碼的使用者的環境中，可能會帶來安全性風險。為了提高部署彈性，DNN 現在包含一個選項，可禁止在 HTML 模組內容中使用 JavaScript。新安裝預設會啟用此保護。現有安裝會保留其目前的行為以保持相容性，但如果內容編輯器不打算發佈可執行的指令碼，則建議管理員評估啟用新設定。此增強功能針對跨網站指令碼 （XSS） 提供了額外的防禦層，同時允許管理員選擇最適合其網站信任模型的行為。（GHSA-mjq6-87j6-5f4g）
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Dotnetnuke 10.3.3 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 339554
檔案名稱: dotnetnuke_GHSA-mjq6-87j6-5f4g.nasl
版本: 1.1
類型: Remote
系列: CGI abuses
已發布: 2026/8/26
已更新: 2026/8/26
支援的感應器: Nessus
Enable CGI Scanning: true
弱點資訊
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必要的 KB 項目: installed_sw/DNN
排除在外的 KB 項目: Settings/disable_cgi_scanning
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/8/25
弱點發布日期: 2026/8/25