PHP で書かれた Web サイト公開エンジンである SPIP に複数の折り返し型クロスサイトスクリプティング (XSS) 脆弱性が発見されました。CVE-2016-9997 : puce_statut アクションに対する「id」パラメータが適切にサニタイズされないことが発見されました。攻撃者が、認証された SPIP ユーザーを騙して特別に細工した URL を開かせることにより、任意の HTML コードを挿入する可能性があります。CVE-2016-9998 : info_plugin アクションに対する「plugin」パラメータが適切にサニタイズされないことが発見されました。攻撃者が、認証された SPIP ユーザーを騙して特別に細工した URL を開かせることにより、任意の HTML コードを挿入する可能性があります。Debian 7 'Wheezy' では、これらの問題はバージョン 2.1.17-1+deb7u8 で修正されています。spip パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-760-1 : spip セキュリティ更新

medium Nessus プラグイン ID 96095

バージョン 3.5