FreeBSD：foswiki -- チェックされていないユーザー登録フィールドによるスクリプトの挿入の脆弱性（495b46fd-a30f-11e1-82c9-d0df9acfd7e5）

low Nessus プラグイン ID 59206

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Foswiki チームによる報告：

新しいユーザーが登録されると、新しいユーザーは任意の HTML とスクリプトコードを、ユーザートピックスに追加できます。このユーザートピックスは、「FirstName」または「OrganisationName」などの標準登録フィールドを介して、RegistrationAgent により生成されます。

デザインによると、Foswiki の標準編集機能により、スクリプトコードを含む任意の HTML マークアップが任意のトピックスに任意の方法で挿入されます。この際、多くの Foswiki サイトの場合のように、認証されたユーザーは、CHANGE 権限があると見なされます。しかし、CHANGE 権限のある認証されたユーザーのみが、スクリプトコンテンツを作成できるという前提は、新しいユーザーがこのアラートで説明されている脆弱性を悪用し、登録エージェントがそれらのコンテンツを作成するように操作する場合には、正しくありません。