自己報告されたバージョンによると、リモートのWebサーバーで実行されているDotnetnukeのインスタンスは 10.3.3より前です。
したがって、脆弱性の影響を受けます。

  - HTML モジュールは、歴史的に、信頼できるコンテンツエディターが HTML コンテンツ内に JavaScript を含めることを許可していました。管理者が実行可能なスクリプトが HTML モジュールコンテンツに保存されないようにする新しいセキュリティオプションが追加され、コンテンツエディターが完全には信頼されない環境でのクロスサイトスクリプティング(XSS)のリスクが軽減しました。HTML モジュールは従来、コンテンツ編集権限のあるユーザーに JavaScript を含むリッチな HTML コンテンツの作成を許可してきました。この動作は、コンテンツエディターが信頼される多くの展開で予想されるものですが、コンテンツ編集の権限がクライアント側のコードを実行することを許可されないユーザーに委任される環境では、セキュリティリスクが生じる可能性があります。展開の柔軟性を高めるために、DNN に HTML モジュールコンテンツ内で JavaScript を許可しないオプションが追加されました。新しいインストールでは、この保護がデフォルトで有効になります。既存のインストールは互換性を維持するために現在の挙動を維持しますが、コンテンツエディターが実行可能スクリプトの公開を意図していない場合は、管理者が新しい設定の有効化を評価することが推奨されます。この機能強化により、クロスサイトスクリプティング (XSS) に対する防御層が追加される一方、管理者はサイトの信頼モデルに最適な動作を選択できます。(GHSA-mjq6-87j6-5f4g)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Dotnetnuke < 10.3.3 HTML モジュールコンテンツに対するオプションの JavaScript 制限(GHSA-mjq6-87j6-5f4g)

high Nessus プラグイン ID 339554

バージョン 1.1