Dotnetnuke < 10.3.3 GroupEdit ポストバック改ざんにより、あるグループ所有者が別のグループを更新する可能性があります(GHSA-4q79-2m2q-gw8w)
high Nessus プラグイン ID 339488
Language:
概要
リモートの Web サーバーで実行している ASP.NET アプリケーションは、脆弱性の影響を受けます。説明
自己報告されたバージョンによると、リモートのWebサーバーで実行されているDotnetnukeのインスタンスは 10.3.3より前です。したがって、脆弱性の影響を受けます。
- ソーシャルグループモジュールの認証の脆弱性により、グループの所有者が別のグループの情報を変更できる可能性があります。ソーシャルグループを使用しているサイトは、パッチを適用したリリースにアップグレードし、グループ管理操作中に所有権の検証が一貫して行われるようにする必要があります。Social Groups モジュールで脆弱性が特定されました。これは、グループ管理操作中に所有権の検証が一貫して実施されていませんでした。特定の状況で、あるソーシャルグループを管理する権限を持つユーザーが、所有していない別のグループに変更を加える可能性があります。悪用に成功すると、編集可能なグループ情報に権限なしに変更が加えられ、影響を受けるソーシャルグループの整合性が損なわれる可能性があります。さらに、攻撃者が正当なグループの所有者または管理者が発信したように見える誤解を招く、または詐欺的なコンテンツを公開することにより、これらの不正な変更をソーシャルエンジニアリングに使用する可能性があります。
(GHSA-4q79-2m2q-gw8w)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Dotnetnuke バージョン 10.3.3 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 339488
ファイル名: dotnetnuke_GHSA-4q79-2m2q-gw8w.nasl
バージョン: 1.1
タイプ: Remote
ファミリー: CGI abuses
公開日: 2026/8/25
更新日: 2026/8/25
サポートされているセンサー: Nessus
Enable CGI Scanning: true
脆弱性情報
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必要な KB アイテム: installed_sw/DNN
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/25
脆弱性公開日: 2026/8/25
参照情報
CWE: 639