Dotnetnuke < 10.3.3 ユーザー登録承認承認バイパス(GHSA-fpr5-67pq-3hf5)
high Nessus プラグイン ID 339646
Language:
概要
リモートの Web サーバーで実行している ASP.NET アプリケーションは、脆弱性の影響を受けます。説明
自己報告されたバージョンによると、リモートのWebサーバーで実行されているDotnetnukeのインスタンスは 10.3.3より前です。したがって、脆弱性の影響を受けます。
- 認証の脆弱性により、認証されたユーザーが、保留中のユーザー登録を管理者権限なしで承認する可能性があります。新しいユーザー登録に対して管理者の承認を使用しているサイトは、登録承認アクションが適切に制限されるよう、直ちにアップグレードする必要があります。保留中のユーザーアカウントを承認する前に承認チェックが一貫して行われていなかった、プラットフォームのユーザー登録承認プロセスに脆弱性が特定されました。特定の状況で、最小限の権限で認証されたユーザーが、認証された管理者に制限されるべき登録承認アクションを実行する可能性があります。悪用に成功すると、新しいユーザー登録の管理レビューがバイパスされ、保留中のアカウントが、意図された承認プロセスなしでアクティブになる可能性があります。これにより、管理された登録ワークフローの整合性が損なわれ、認証されていないアカウントや自己承認されたアカウントがサイトにアクセスできる可能性があります。この影響は、プライベートコミュニティ、イントラネット、カスタマーポータル、またはアクセスを許可する前にアカウントの承認を使用して身元、資格、所属組織の所属を検証する規制された環境など、セキュリティコントロールとして管理者の承認に依存しているサイトでは特に重要です。こうした環境で悪用に成功すると、権限のないユーザーが、本来なら管理者の承認が必要な保護されたコンテンツや機能へのアクセス権を取得する可能性があります。(GHSA-fpr5-67pq-3hf5)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Dotnetnuke バージョン 10.3.3 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 339646
ファイル名: dotnetnuke_GHSA-fpr5-67pq-3hf5.nasl
バージョン: 1.1
タイプ: Remote
ファミリー: CGI abuses
公開日: 2026/8/26
更新日: 2026/8/26
サポートされているセンサー: Nessus
Enable CGI Scanning: true
脆弱性情報
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必要な KB アイテム: installed_sw/DNN
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/25
脆弱性公開日: 2026/8/25
参照情報
CWE: 639