Mort Bay Jettyのリモートインスタンスには、テストサーブレット「webapps/test/jsp/dump.jsp」が含まれています。これは、動的コンテンツを生成するために使用する前にユーザー指定入力をサニタイズできません。未認証のリモートの攻撃者がこの問題を利用して、任意のHTMLまたはスクリプトコードをユーザーのブラウザに注入し、影響を受けるサイトのセキュリティコンテキスト内で実行できる可能性があります。 

Jetty自体だけでなく「webapps/snoop.jsp」サーブレットにも類似の問題が存在することが報告されていますが、Nessusではそれらは確認されませんでした。

検出

Mort Bay Jetty Dump Servlet（webapps/test/jsp/dump.jsp）のXSS

medium Nessus プラグイン ID 29219

変更ログが見つかりません