「Velocity」テンプレートエンジン用の便利なツールのコレクションであるvelocity-toolsに、クロスサイトスクリプティング（XSS）の脆弱性があることが判明しました。

デフォルトのエラーページが悪用されて、セッションクッキーが盗まれたり、被害者の名前でリクエストが実行されたり、フィッシング攻撃や他の多くの同様の攻撃に使用される可能性があります。

Debian 9 'Stretch'では、この問題はバージョン2.0-6+deb9u1で修正されています。

お使いのvelocity-toolsパッケージをアップグレードすることを推奨します。

velocity-toolsの詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/velocity-tools

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2597-1 : velocity-toolsのセキュリティ更新

medium Nessus プラグイン ID 147898

バージョン 1.3