An XML external entity (XXE) vulnerability exists in ManageEngine ServiceDesk Plus MSP prior to 13.0 Build 13001 due to a flaw in the Analytics Plus integration. Threat actors with admin role access can retrieve local files from the server running the affected products.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version   number.

An XML external entity (XXE) vulnerability exists in ManageEngine AssetExplorer 6.9 Build 6980 due to a flaw in the Analytics Plus integration. Threat actors with admin role access can retrieve local files from the server running the affected products.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version   number.

The version of ManageEngine SupportCenter Plus prior to 11.0 Build 11026 is running on the remote web server. It is, therefore, affected by multiple vulnerabilities, including the following:

  - A remote code execution vulnerability due to a flaw in the Analytics Plus integration input     field validation. Vulnerability requires an administrator role access. (CVE-2022-40770)

  - An XML external entity (XXE) vulnerability due to a flaw in the Analytics Plus integration.
    Threat actors with admin role access can retrieve local files from the server. (CVE-2022-40771)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of ManageEngine ServiceDesk Plus running on the remote host is prior to 14.0 Build 14001. It is, therefore, affected by multiple vulnerabilities, including the following:

  - An XML external entity (XXE) vulnerability due to a flaw in the Analytics Plus integration.
    Threat actors with admin role access can retrieve local files from the server. (CVE-2022-40771)

  - A privilege escalation vulnerability allows an adversary to access restricted data in the     Postgres database setup by using a specific PostgreSQL function in the query, which enables     bypassing the validation mechanism. (CVE-2022-40772)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Analytics Plus 統合の欠陥により、ManageEngine ServiceDesk Plus MSP 13.0 ビルド 13001 に XML 外部エンティティ (XXE) の脆弱性が存在します。管理者ロールのアクセス権を持つ攻撃者が、影響を受ける製品を実行しているサーバーからローカルファイルを取得する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Analytics Plus 統合の欠陥により、ManageEngine AssetExplorer 6.9 ビルド 6980 に XML 外部エンティティ (XXE) の脆弱性が存在します。管理者ロールのアクセス権を持つ攻撃者が、影響を受ける製品を実行しているサーバーからローカルファイルを取得する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Web サーバーで、11.0 ビルド 11026 より前のバージョンの ManageEngine SupportCenter Plus を実行しています。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Analytics Plus 統合入力フィールド検証の欠陥により、リモートコード実行の脆弱性が存在します。脆弱性には、管理者ロールのアクセス権が必要です。(CVE-2022-40770)

  - Analytics Plus 統合の欠陥により、XML 外部エンティティ (XXE) の脆弱性が存在します。
    管理者ロールのアクセス権を持つ攻撃者が、サーバーからローカルファイルを取得する可能性があります。(CVE-2022-40771)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストで実行している ManageEngine ServiceDesk Plus のバージョンが、14.0 ビルド 14001 以前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Analytics Plus 統合の欠陥により、XML 外部エンティティ (XXE) の脆弱性が存在します。
    管理者ロールのアクセス権を持つ攻撃者が、サーバーからローカルファイルを取得する可能性があります。(CVE-2022-40771)

  - 権限昇格の脆弱性により、クエリで特定の PostgreSQL 関数を使用することで、攻撃者が Postgres データベースセットアップの制限されたデータにアクセスでき、検証メカニズムをバイパスする可能性があります。(CVE-2022-40772)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ManageEngine ServiceDesk Plus MSP 13.0 Build 13001 之前版本中存在 XML 外部實體 (XXE) 弱點，這是因為 Analytics Plus 整合中有一個瑕疵。具有管理員角色存取權限的威脅執行者可從執行受影響產品的伺服器擷取本機檔案。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ManageEngine AssetExplorer 6.9 Build 6980 中存在 XML 外部實體 (XXE) 弱點，這是因為 Analytics Plus 整合中有一個瑕疵。具有管理員角色存取權限的威脅執行者可從執行受影響產品的伺服器擷取本機檔案。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ManageEngine ServiceDesk Plus MSP 13.0 Build 13001 之前版本存在 XML 外部实体 (XXE) 注入漏洞，这是由 Analytics Plus 集成中的缺陷造成。具有管理员角色访问权限的威胁制造者可从运行受影响产品的服务器检索本地文件。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ManageEngine AssetExplorer 6.9 Build 6980 存在 XML 外部实体 (XXE) 注入漏洞，这是由 Analytics Plus 集成中的缺陷造成。具有管理员角色访问权限的威胁制造者可从运行受影响产品的服务器检索本地文件。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Web 伺服器上執行的 ManageEngine SupportCenter Plus 低於 11.0 Build 11026 版本。因此會受到包括以下在內的多個弱點影響：

  - 遠端程式碼執行弱點，這是因為 Analytics Plus 整合輸入欄位驗證中存在缺陷。攻擊者必須要有管理員角色的存取權限才能利用此弱點。(CVE-2022-40770)

  - XML 外部實體 (XXE) 插入弱點，這是因為 Analytics Plus 整合中存在缺陷。
    具有管理員角色存取權限的威脅執行者可從伺服器擷取本機檔案。(CVE-2022-40771)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 ManageEngine ServiceDesk Plus 版本低於 14.0 Build 14001。因此會受到包括以下在內的多個弱點影響：

  - XML 外部實體 (XXE) 插入弱點，這是因為 Analytics Plus 整合中存在缺陷。
    具有管理員角色存取權限的威脅執行者可從伺服器擷取本機檔案。(CVE-2022-40771)

  攻擊者可利用此弱點，透過在查詢中使用特定的 PostgreSQL 函式來存取 Postgres 資料庫設定中的受限資料，進而繞過驗證機制。(CVE-2022-40772)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上运行的 ManageEngine SupportCenter Plus 版本低于 11.0 Build 11026。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 远程代码执行漏洞，这是由 Analytics Plus 集成输入字段验证中的缺陷造成 。必须具有管理员角色的访问权限才能利用此漏洞。(CVE-2022-40770)

  - XML 外部实体 (XXE) 漏洞，这是由 Analytics Plus 集成中的缺陷造成。
    具有管理员角色访问权限的威胁制造者可从服务器检索本地文件。(CVE-2022-40771)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 ManageEngine ServiceDesk Plus 版本低于 14.0 Build 14001。因此，该应用程序受到多个漏洞的影响，其中包括：

  - XML 外部实体 (XXE) 漏洞，这是由 Analytics Plus 集成中的缺陷造成。
    具有管理员角色访问权限的威胁制造者可从服务器检索本地文件。(CVE-2022-40771)

  - 特权提升漏洞，此漏洞允许攻击者通过在查询中使用特定的 PostgreSQL 函数来访问 Postgres 数据库设置中的受限制数据，从而绕过验证机制。(CVE-2022-40772)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
168353	ManageEngine ServiceDesk Plus MSP < 13.0 Build 13001 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168357	ManageEngine AssetExplorer 6.9 Build 6980 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168358	ManageEngine SupportCenter Plus < 11.0 Build 11026 Multiple Vulnerabilities	Nessus	CGI abuses	2022/12/2	2023/3/16	high
168361	ManageEngine ServiceDesk Plus < 14.0 Build 14001 Multiple Vulnerabilities	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168353	ManageEngine ServiceDesk Plus MSP < 13.0 ビルド 13001 の XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168357	ManageEngine AssetExplorer < 6.9 ビルド 6980 の XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168358	ManageEngine SupportCenter Plus < 11.0 < ビルド 11026 の複数の脆弱性	Nessus	CGI abuses	2022/12/2	2023/3/16	high
168361	ManageEngine ServiceDesk Plus 14.0 < ビルド 14001 の複数の脆弱性	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168353	ManageEngine ServiceDesk Plus MSP < 13.0 Build 13001 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168357	ManageEngine AssetExplorer 6.9 Build 6980 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168353	ManageEngine ServiceDesk Plus MSP < 13.0 Build 13001 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168357	ManageEngine AssetExplorer 6.9 Build 6980 XXE	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168358	ManageEngine SupportCenter Plus < 11.0 Build 11026 多個弱點	Nessus	CGI abuses	2022/12/2	2023/3/16	high
168361	ManageEngine ServiceDesk Plus < 14.0 Build 14001 多個弱點	Nessus	CGI abuses	2022/12/2	2023/3/16	medium
168358	ManageEngine SupportCenter Plus < 11.0 Build 11026 多个漏洞	Nessus	CGI abuses	2022/12/2	2023/3/16	high
168361	ManageEngine ServiceDesk Plus < 14.0 Build 14001 多个漏洞	Nessus	CGI abuses	2022/12/2	2023/3/16	medium

偵測

搜尋 Plugin

medium

medium

high

medium

medium

medium

high

medium

medium

medium

medium

medium

high

medium

high

medium