According to its banner, the version of Open Web Analytics installed on the remote host is prior to version 1.5.6. It is, therefore, affected by the following vulnerabilities :

  - A cross-site scripting flaw exists with the login page     where input to the 'owa_user_id' parameter is not     properly sanitized. This could allow a remote attacker,     with a specially crafted request, to execute arbitrary     code within the browser / server trust relationship.
    (CVE-2014-1456)

  - Multiple cross-site scripting flaws exist with the     General Configuration Options page where multiple     parameters are not properly sanitized. This     could allow a remote attacker, with a specially crafted     request, to execute arbitrary code within the browser /     server trust relationship.

  - A cross-site request forgery exists with the cross-site     request forgery prevention scheme where the nonce values     are not random enough. This could allow a     context-dependent attacker, with a specially crafted     link, to trick a user into giving the attacker access to     sensitive actions. (CVE-2014-1457)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

バナーによると、リモートホストにインストールされている Open Web Analytics のバージョンは 1.5.6 より前です。したがって、次の脆弱性の影響を受けます：

- ログインページにクロスサイトスクリプティングの欠陥が存在し、「owa_user_id」パラメーターへの入力が適切にサニタイズされません。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のコードを実行する可能性があります。
 （CVE-2014-1456）

- 複数のクロスサイトスクリプティングの欠陥が General Configuration Options ページに存在し、複数のパラメーターが適切にサニタイズされません。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のコードを実行する可能性があります。（OSVDB：103341）

- クロスサイトリクエスト偽造がクロスサイトリクエスト偽造防止スキームに存在し、nonce の値が十分にランダムではありません。これにより、コンテキスト依存の攻撃者が、特別に細工されたリンクにより、ユーザーを騙して、攻撃者が機密性の高いアクションへアクセスできるようにする可能性があります。（CVE-2014-1457）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

根據其標題，遠端主機上安裝的 Open Web Analytics 版本比 1.5.6 版舊。因此受到以下弱點影響：

- 登入頁面中存有一個跨網站指令碼瑕疵，‘owa_user_id’ 參數的輸入並未正確清理。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意程式碼。
 (CVE-2014-1456)

- General Configuration Options 頁面中存有多個跨網站指令碼瑕疵，多個參數並未正確清理。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意程式碼。(OSVDB：103341)

- 跨網站要求偽造預防機制中存有跨網站要求偽造，nonce 值不夠隨機。這可允許內容相依的攻擊者透過特製連結，誘騙使用者向攻擊者提供敏感動作的存取權。(CVE-2014-1457)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其标题，远程主机上安装的 Open Web Analytics 版本低于 1.5.6。因此，它受到以下漏洞的影响：

- 登录页面存在跨站脚本缺陷，其中未正确审查对“owa_user_id”参数的输入。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意代码。
 (CVE-2014-1456)

- 常规配置选项页面存在多种跨站脚本缺陷，其中多个参数未正确审查。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意代码。（OSVDB：103341）

- 跨站请求伪造预防方案存在跨站请求伪造，其中临时信息值不够随机。这可允许上下文有关的攻击者通过特别构建的链接诱使用户让攻击者访问敏感操作。(CVE-2014-1457)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
74189	Open Web Analytics < 1.5.6 Multiple Vulnerabilities	Nessus	CGI abuses	2014/5/27	2022/4/11	high
74189	1.5.6 より前の Open Web Analytics の複数の脆弱性	Nessus	CGI abuses	2014/5/27	2022/4/11	high
74189	Open Web Analytics < 1.5.6 多個弱點	Nessus	CGI abuses	2014/5/27	2022/4/11	high
74189	Open Web Analytics < 1.5.6 多种漏洞	Nessus	CGI abuses	2014/5/27	2022/4/11	high

偵測

搜尋 Plugin

high

high

high

high