FreeBSD：foswiki -- 經由未經檢查的使用者註冊欄位出現指令碼插入弱點 (495b46fd-a30f-11e1-82c9-d0df9acfd7e5)

low Nessus Plugin ID 59206

語系：

概要

遠端 FreeBSD 主機缺少安全性相關更新。

說明

Foswiki 團隊報告：

當新使用者註冊時，其可透過標準註冊欄位 (如 'FirstName' 或 'OrganisationName') 新增任意 HTML 和指令碼至 RegistrationAgent 產生的使用者主題。

在設計上，Foswiki 的一般編輯功能允許任意 HTML 標記 (包括指令碼) 以任何方式插入任何主題，同時假設經驗證的使用者具有 CHANGE 權限；這在許多 Foswiki 網站上都是如此。然而，如果新使用者可惡意利用此警告中詳述的弱點，來操控註冊代理程式為其建立內容，則不應假設只有具有 CHANGE 權限的經驗證使用者可以建立指令碼內容。