リモートホストがビルド 9103 より前の 9.1.0 のバージョンの ManageEngine ServiceDesk Plus を実行しています。したがって、以下の複数の脆弱性による影響を受けます。

  -「ログイン」ページへのユーザー提供入力の検証が不適切なために、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - 新しいソフトウェアライセンスのタイプまたはオプションを追加する際にユーザー提供入力の不適切な検証による、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - ソフトウェアの詳細ページの添付ファイルの URL に、詳細不明の欠陥が存在します。

  - メールによりレポートを送信する際にユーザー提供入力の不適切な検証のため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - 「新しいタスクの追加」アクションの際に「モジュール」および「from」パラメーターへのユーザー提供入力の検証が不適切なため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - 「ソリューション」モジュールの「UNIQUE_ID」パラメータへのユーザー提供入力の検証が不適切なため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - メール通知ウインドウのユーザー提供入力の検証が不適切なため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - リクエストテンプレート、リマインダーおよび技術者カレンダへのユーザー提供入力の検証が不適切なため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - 詳細不明な欠陥のために、セキュリティバイパスの脆弱性が存在します。認証されたリモートの攻撃者はこれを悪用して、インシデントの詳細を更新する可能性があります。

  - 詳細不明な欠陥のために、セキュリティバイパスの脆弱性が存在します。認証されたリモートの攻撃者がこれを悪用して、問題へアクセスし、詳細を変更する可能性があります。

  - ユーザー指定入力の不適切な検証のため、クロスサイトスクリプティングの脆弱性があります。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

  - SQL クエリで使用する前に、ユーザー指定の入力を不適切にサニタイズしているため、SQL インジェクションの脆弱性が存在します。リモートの攻撃者がこれを悪用して、SQL クエリを注入または操作して、任意のデータの操作および漏洩を引き起こす可能性があります。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

ManageEngine ServiceDesk Plus 9.1.0 < ビルド 9103 の複数の脆弱性

high Nessus プラグイン ID 85599

変更ログが見つかりません