CGI 一般 XML 插入
medium Nessus Plugin ID 46196
語系：
概要
遠端 Web 伺服器主控的 CGI 應用程式可能容易遭受 XML 插入攻擊。說明
透過將特製參數傳送至遠端 Web 伺服器主控的一或多個 CGI 指令碼，Nessus 可取得非常不同的回應，表示可修改應用程式的行為並直接存取 SOAP 後端。攻擊者可能會惡意利用此問題，繞過驗證、讀取機密資料、修改遠端資料庫或甚至控制遠端作業系統。
惡意利用 XML 插入通常不算是小事。
請注意，此指令碼為實驗性質，且可能容易受到誤報影響，PHP 應用程式使用「strip_tags()」清理使用者輸入時尤其如此。
解決方案
修改受影響的 CGI 指令碼，使其正確逸出引數，尤其是 XML 標籤與特殊字元 (角括弧與斜線)。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 46196
檔案名稱: torture_cgi_xml_injection.nasl
版本: 1.17
類型: remote
系列: CGI abuses
已發布: 2010/4/30
已更新: 2024/6/14
支援的感應器: Nessus
風險資訊
CVSS v2
風險因素: Medium
基本分數: 6.8
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
弱點資訊
必要的 KB 項目: Settings/enable_web_app_tests