Web UI におけるクロスサイトスクリプティング (XSS) の脆弱性

クロスサイトスクリプティング (XSS) の欠陥が mailman で見つかりました。ユーザーを特定の URL に誘導できる攻撃者は、ユーザーサイドで任意の Web スクリプトを実行し、被害者に意図しないアクションを実行させることができます。(CVE-2018-5950)

ユーザーオプションページに CSRF 保護がありません

2.1.23 より前の GNU Mailman 2.1.xのユーザーオプションページに存在するクロスサイトリクエスト偽造 (CSRF) の脆弱性により、被害者のアカウントの資格情報へのアクセスを取得することによって実証されるように、リモートの攻撃者が任意のユーザーの認証を乗っ取って、オプションを変更するリクエストを実行する可能性があります。(CVE-2016-6893)

検出

Amazon Linux AMI：mailman (ALAS-2018-985)

high Nessus プラグイン ID 108848

変更ログが見つかりません