TinyBrowser 多個 XSS

medium Nessus Plugin ID 40493

語系：

概要

遠端 Web 伺服器含有一個受多個跨網站指令碼弱點影響的 PHP 應用程式。

說明

遠端主機上正在執行 TinyBrowser，這是一個開放原始碼 Web 檔案瀏覽器。TinyBrowser 通常隨附於 Web 應用程式，例如 TinyMCE WYSIWYG 內容編輯器或 Joomla! 內容管理系統，但也可在獨立組態中使用，或與其他自訂 Web 應用程式整合。

遠端主機上執行的 TinyBrowser 元件版本受到 /tinybrowser/upload.php 中多個跨網站指令碼 (XSS) 弱點影響，這是由於應用程式未正確清理使用者提供的「goodfiles」、「badfiles」、「dupfiles」參數輸入，便使用它來產生動態 HTML 內容。未經驗證的遠端攻擊者可藉此在使用者的瀏覽器工作階段中插入任意 HTML 和指令碼。

請注意，此版本的 TinyBrowser 可能受到其他數個弱點影響，這些弱點允許未經驗證的使用者檢視、上傳、刪除和重新命名受影響主機上的檔案和資料夾，或使用應用程式發動跨網站要求偽造攻擊。
但 Nessus 尚未檢測這些問題。