自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 8.9.20より前の 8.9.x、9.1.14 より前の 9.1.x、および 9.2.9より前の 9.2.xです。したがって、WYSIWYG 編集用のサードパーティコンポーネントである CKEditor の使用による複数のクロスサイトスクリプティングの脆弱性の影響を受けます。

 - コアHTML処理モジュールでクロスサイトスクリプティング (XSS) が発見され、CKEditor 4で使用されるすべてのプラグインに影響を与える可能性がありますCVE-2021-41165 ( )。

 - Advanced Content Filter (ACF) モジュールでクロスサイトスクリプティング (XSS) が発見され、CKEditor 4 で使用されるすべてのプラグインに影響を与える可能性があります。(CVE-2021-41164)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている IBM Engineering Requirements Management DOORS (旧 IBM Rational DOORS) のバージョンは、9.7.2.8 より前の 9.7.2.x です。したがって、7124058 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.9.1 より前の Apache Shiro、RegexRequestMatcher が誤って構成され、一部のサーブレットコンテナでバイパスされる可能性があります。正規表現で「.」を持つ RegExPatternMatcher を使用するアプリケーションは、認証バイパスに対して脆弱である可能性があります。(CVE-2022-32532)

  - Java OpenWire プロトコルマーシャラーは、リモートコード実行の脆弱性があります。この脆弱性により、Java ベースの OpenWire ブローカーまたはクライアントにネットワークアクセス権があるリモートの攻撃者が、OpenWire プロトコルのシリアル化されたクラスタイプを操作してクライアントまたはブローカーに (それぞれ) クラスパス上の任意のクラスをインスタンス化させることで、任意のシェルコマンドを実行する可能性があります。ユーザーには、ブローカーとクライアントの両方を、この問題を修正したバージョンであるバージョン 5.15.16、5.16.7、5.17.6、または 5.18.3 にアップグレードすることをお勧めします。
    (CVE-2023-46604)

  - 2.13.9 の前の Scala 2.13.x は、JAR ファイルに Java 逆シリアル化チェーンがあります。単独では悪用できません。アプリケーション内の Java オブジェクト逆シリアル化に関連するリスクのみがあります。このような状況では、攻撃者がガジェットチェーンを介して、任意のファイルのコンテンツを消去したり、ネットワーク接続を行ったり、任意のコード (特に、Function0 関数) を実行したりする可能性があります。(CVE-2022-36944)

  - IBM Engineering Requirements Management DOORS 9.7.2.7 は、クロスサイトリクエスト偽造に対して脆弱です。これにより、攻撃者が、Web サイトが信頼するユーザーから送信された悪意のある認証されていないアクションを実行する可能性があります。IBM X-Force ID: 251216. (CVE-2023-28949)

  - CKEditor 4.14 以前の 4.0 の HTML Data Processor のクロスサイトスクリプティング (XSS ) の脆弱性により、リモートの攻撃者が、細工された保護されたコメント (cke_protected 構文を使用 ) を使用して任意の Web スクリプトを挿入する可能性があります。(CVE-2020-9281)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Oracle データベースサーバーのバージョンは、2022 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database の脆弱性 - Oracle Database Server の Enterprise Edition Sharding コンポーネント。
    サポートされているバージョンで影響を受けるのは 19c です。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより Create Any Procedure 権限を取得し、Oracle Database - Enterprise Edition Sharding を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Database - Enterprise Edition Sharding の乗っ取りが発生する可能性があります。(CVE-2022-21410)

  - Oracle Database Server の Java VM コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2、19c および 21c です。容易に悪用可能な脆弱性により、複数のプロトコルを介したネットワークアクセス権のある権限が低い攻撃者が、Java VM を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java VM がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2022-21498)

  - Oracle Database Server の RDBMS Gateway / Generic ODBC Connectivity コンポーネントの脆弱性。
    影響を受けるサポート対象のバージョンは、12.1.0.2、19c および 21c です。容易に悪用可能な脆弱性により、権限の弱い攻撃者が、Oracle Net を介したネットワークアクセスにより Create Session 権限を取得し、RDBMS Gateway / Generic ODBC Connectivity を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、RDBMS Gateway / Generic ODBC Connectivity のアクセス可能な一部のデータへのアクセス権を非承認で更新、挿入、または削除し、さらに RDBMS Gateway / Generic ODBC Connectivity のアクセス可能な一部のデータを承認なく読み取ることが発生する可能性があります。(CVE-2022-21411)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 36 ホストには、FEDORA-2022-b61dfd219b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンの Advanced Content Filter (ACF) モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式の HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0 で利用可能です。(CVE-2021-41164)

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンのコア HTML 処理モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式のコメントの HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0 で利用可能です。(CVE-2021-41165)

  - CKEditor4 はオープンソースの what-you-see-is-what-you-get HTML エディターです。コア HTML 処理モジュールに脆弱性が見つかりました。バージョン 4.18.0 より前の CKEditor 4 で使用されるすべてのプラグインに影響を与える可能性があります。
    この脆弱性により、誰かがコンテンツのサニタイズをバイパスして無効な形式の HTML を挿入し、JavaScript コードが実行される可能性があります。この問題は、バージョン 4.18.0 でパッチが適用されました。現在、既知の回避策はありません。(CVE-2022-24728)

  - CKEditor4 はオープンソースの what-you-see-is-what-you-get HTML エディターです。バージョン 4.18.0 より前の CKEditor4 には、「dialog」プラグインの脆弱性があります。この脆弱性により、ダイアログ入力バリデータの正規表現の悪用が可能になり、パフォーマンスが大幅に低下し、ブラウザのタブがフリーズする可能性があります。パッチがバージョン 4.18.0で利用可能です。現在、既知の回避策はありません。(CVE-2022-24729)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 8.9.20 より前の 8.9.x、9.1.14 より前の 9.1.x、および 9.2.9 より前の 9.2.x です。したがって、複数の脆弱性の影響を受けます。

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンの Advanced Content Filter (ACF) モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式の HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0で利用可能です。(CVE-2021-41164)

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンのコア HTML 処理モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式のコメントの HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0で利用可能です。(CVE-2021-41165)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113064	Drupal 9.2.x < 9.2.9 のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
113066	Drupal 8.9.x < 8.9.20 のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
113065	Drupal 9.1.x < 9.1.14 のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
191754	IBM Engineering Requirements Management DOORS 9.7.2.x < 9.7.2.8 複数の脆弱性 (7124058)	Nessus	Windows	2024/3/8	2024/3/12	critical
160079	Oracle Database Server (2022 年 4 月 CPU)	Nessus	Databases	2022/4/22	2023/10/31	high
169023	Fedora 36: ckeditor (2022-b61dfd219b)	Nessus	Fedora Local Security Checks	2022/12/21	2023/9/12	medium
155559	Drupal 8.9.x < 8.9.20 / 9.1.x < 9.1.14 / 9.2.x < 9.2.9 の複数の脆弱性 (drupal-2021-11-17)	Nessus	CGI abuses	2021/11/18	2023/9/28	medium

検出

プラグインの検索

medium

medium

medium

critical

high

medium

medium