自己報告されたバージョンによると、リモートのWebサーバーで実行されているDotnetnukeのインスタンスは 10.3.3より前です。
したがって、脆弱性の影響を受けます。

  - 認証の脆弱性により、認証されたユーザーが、保留中のユーザー登録を管理者権限なしで承認する可能性があります。新しいユーザー登録に対して管理者の承認を使用しているサイトは、登録承認アクションが適切に制限されるよう、直ちにアップグレードする必要があります。保留中のユーザーアカウントを承認する前に承認チェックが一貫して行われていなかった、プラットフォームのユーザー登録承認プロセスに脆弱性が特定されました。特定の状況で、最小限の権限で認証されたユーザーが、認証された管理者に制限されるべき登録承認アクションを実行する可能性があります。悪用に成功すると、新しいユーザー登録の管理レビューがバイパスされ、保留中のアカウントが、意図された承認プロセスなしでアクティブになる可能性があります。これにより、管理された登録ワークフローの整合性が損なわれ、認証されていないアカウントや自己承認されたアカウントがサイトにアクセスできる可能性があります。この影響は、プライベートコミュニティ、イントラネット、カスタマーポータル、またはアクセスを許可する前にアカウントの承認を使用して身元、資格、所属組織の所属を検証する規制された環境など、セキュリティコントロールとして管理者の承認に依存しているサイトでは特に重要です。こうした環境で悪用に成功すると、権限のないユーザーが、本来なら管理者の承認が必要な保護されたコンテンツや機能へのアクセス権を取得する可能性があります。(GHSA-fpr5-67pq-3hf5)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Dotnetnuke < 10.3.3 ユーザー登録承認承認バイパス(GHSA-fpr5-67pq-3hf5)

high Nessus プラグイン ID 339646

バージョン 1.1