FreeBSD：postfixadmin -- 多個弱點 (93688f8f-4935-11e1-89b4-001ec9578670)

medium Nessus Plugin ID 57720

語系：

概要

遠端 FreeBSD 主機缺少安全性相關更新。

說明

Postfix 系統管理員團隊報告：

存在多個 XSS 弱點：- templates/menu.php 和 edit-vacation 中 $_GET[domain] 的 XSS 弱點 - 部分 create-domain 輸入欄位中的 XSS 弱點 - create-alias 和 edit-alias 錯誤訊息中的 XSS 弱點 - fetchmail 清單檢視 list-domain 和 list-virtual 中的 XSS 弱點 (資料庫中儲存的值所引發)

存在多個 SQL 插入問題：- pacrypt() 中的 SQL 插入問題 (若 $CONF[encrypt] == 'mysql_encrypt') - backup.php 中的 SQL 插入問題 - 轉儲存不是 mysql_escape()d，因此使用者可插入 SQL (例如在 vacation 訊息中)，而該 SQL 會在還原資料庫轉儲存時執行。警告：從 2.3.4 或更舊版 backup.php 建立的資料庫轉儲存可能包含惡意 SQL。使用前請先重複檢查！