リモートホストで実行している QlikView Server のバージョンは、11.20 SR12 より前の 11.20 です。このため、不適切に構成された XML パーサーが信頼できないソースから XML 外部エンティティを受け入れるため、/AccessPoint.aspx スクリプトで XML 外部エンティティ（XXE）の注入、具体的には DTD パラメーターの注入の脆弱性による影響を受けます。認証されていないリモートの攻撃者が、これを悪用して、細工された XML データを通じて、サーバーサイドのリクエスト偽造（SSRF）攻撃を仕掛け、任意のファイルを読み取る可能性があります。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

検出

QlikView Server AccessPoint XML 外部エンティティの注入

medium Nessus プラグイン ID 91782

変更ログが見つかりません