バージョン番号によると、リモート Web サーバーにインストールされている X2Engine アプリケーションは、バージョン 3.7.4 より前のバージョンです。このため、複数の脆弱性の影響を受ける可能性があります：

  - 「/index.php/profile/getEvents」スクリプトの「lastEventId」および「lastTimestamp」の HTTP GET パラメーターに、複数の SQL インジェクションの脆弱性が存在しています。

  「/index.php/contacts/create」スクリプトの「Contacts[firstName]」、「Contacts[website]」、「Contacts[company]」、および「Contacts[interest]」の HTTP POST パラメーター、
    ならびに 「/index.php/contacts/create」スクリプトの「Docs[name]」HTTP POST パラメーターに、複数のクロスサイトスクリプティング（XSS）の脆弱性が存在しています。

  - 「/index.php/media/ajaxUpload」スクリプトがユーザーのアップロードしたファイルを適切に検証していないため、任意のファイルのアップロードの脆弱性が存在しています。

  - 「/index.php/media/ajaxUpload」スクリプトの「CKEditorFuncNum」HTTP POST パラメーターに、DOM ベースのクロスサイトスクリプティング（XSS）の脆弱性が存在しています。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

X2Engine < 3.7.4 の複数の脆弱性

medium Nessus プラグイン ID 81514

バージョン 1.9