Dotnetnuke < 10.3.3 HTML モジュールコンテンツに対するオプションの JavaScript 制限(GHSA-mjq6-87j6-5f4g)
high Nessus プラグイン ID 339554
Language:
概要
リモートの Web サーバーで実行している ASP.NET アプリケーションは、脆弱性の影響を受けます。説明
自己報告されたバージョンによると、リモートのWebサーバーで実行されているDotnetnukeのインスタンスは 10.3.3より前です。したがって、脆弱性の影響を受けます。
- HTML モジュールは、歴史的に、信頼できるコンテンツエディターが HTML コンテンツ内に JavaScript を含めることを許可していました。管理者が実行可能なスクリプトが HTML モジュールコンテンツに保存されないようにする新しいセキュリティオプションが追加され、コンテンツエディターが完全には信頼されない環境でのクロスサイトスクリプティング(XSS)のリスクが軽減しました。HTML モジュールは従来、コンテンツ編集権限のあるユーザーに JavaScript を含むリッチな HTML コンテンツの作成を許可してきました。この動作は、コンテンツエディターが信頼される多くの展開で予想されるものですが、コンテンツ編集の権限がクライアント側のコードを実行することを許可されないユーザーに委任される環境では、セキュリティリスクが生じる可能性があります。展開の柔軟性を高めるために、DNN に HTML モジュールコンテンツ内で JavaScript を許可しないオプションが追加されました。新しいインストールでは、この保護がデフォルトで有効になります。既存のインストールは互換性を維持するために現在の挙動を維持しますが、コンテンツエディターが実行可能スクリプトの公開を意図していない場合は、管理者が新しい設定の有効化を評価することが推奨されます。この機能強化により、クロスサイトスクリプティング (XSS) に対する防御層が追加される一方、管理者はサイトの信頼モデルに最適な動作を選択できます。(GHSA-mjq6-87j6-5f4g)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Dotnetnuke バージョン 10.3.3 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 339554
ファイル名: dotnetnuke_GHSA-mjq6-87j6-5f4g.nasl
バージョン: 1.1
タイプ: Remote
ファミリー: CGI abuses
公開日: 2026/8/26
更新日: 2026/8/26
サポートされているセンサー: Nessus
Enable CGI Scanning: true
脆弱性情報
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必要な KB アイテム: installed_sw/DNN
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/25
脆弱性公開日: 2026/8/25