ソフトウェアベースのIP PBXである3CX Phone System for Windowsがリモートホストにインストールされています。インストールされているバージョンは、HTML応答を動的に生成するために使用する前に、「login.php」の「fName」および「fPassword」パラメーターへの入力をサニタイズできません。認証されていないリモートの攻撃者がこれらの問題を利用して、任意のHTMLまたはスクリプトコードをユーザーのブラウザに注入し、影響を受けるサイトのセキュリティコンテキスト内で実行できる可能性があります。 

Nessusはこれらを確認していませんが、インストールされたバージョンは、おそらく、サービス拒否、管理者のセッションIDのスニッフィング、パス漏洩を含む、その他のいくつかの脆弱性による影響も受けます。

検出

3CX Phone Systemのlogin.phpでの複数パラメーターのXSS

medium Nessus プラグイン ID 40613

変更ログが見つかりません