The remote host contains a version of Zenphoto earlier than 1.4.2.1 that is affected by multiple vulnerabilities :

  - An input validation error in the file     'zp-core/zp-extensions/viewer_size_image.php' can allow     arbitrary PHP code to be injected via the value of the     cookie 'viewer_size_image_saved cookie'. Note that the     plugin 'viewer_size_image' must be enabled for this     vulnerability to be exploited. (CVE-2012-0993)

  - An input validation error in the file     'zp-core/admin-albumsort.php' can allow SQL injection     attacks via the 'sortableList' parameter.
    (CVE-2012-0994)

  - Multiple cross-site scripting vulnerabilities exist     in the following (CVE-2012-0995) :

    - 'zp-core/admin.php' via the 'msg' parameter
    - 'zp-core/admin.php' and undefined urls by appending       malicious code to the end of the url
    - 'zp-core/admin-edit.php' via the 'album' parameter

The remote host contains a Zenphoto installation that is affected by a cross-site scripting vulnerability.

User-supplied input that is appended to the end of a URL is not validated properly before being sent to the browser in a custom 404 page and can result in an attacker-controlled script running in the user's browser.

The install is also likely affected by several other vulnerabilities, including PHP code execution, SQL injection, and other cross-site scripting issues.  This plugin does not, though, check for them.

リモートホストには、複数の脆弱性の影響を受ける 1.4.2.1 より前のバージョンの Zenphoto が含まれています：

- 「zp-core/zp-extensions/viewer_size_image.php」ファイルの入力検証エラーにより、任意の PHP コードが「viewer_size_image_saved cookie」クッキーの値を介して注入される可能性があります。注意：この脆弱性を悪用するには、「viewer_size_image」プラグインが有効化されている必要があります。（CVE-2012-0993）

- 「zp-core/admin-albumsort.php」の入力検証エラーにより、「sortableList」パラメーターを介して SQL インジェクション攻撃が行われる可能性があります。
 （CVE-2012-0994）

- 複数のクロスサイトスクリプティングの脆弱性が以下に存在します（CVE-2012-0995）：

- 「msg」パラメーターからの「zp-core/admin.php」
 - 悪意のあるコードを url の最後に追加することによる、「zp-core/admin.php」および未定義の url
 - 「album」パラメーターからの「zp-core/admin-edit.php」

リモートホストには、クロスサイトスクリプティングの脆弱性に影響を受ける Zenphoto のインストールが含まれています。

URL の末端に付加されたユーザー指定の入力が、カスタム 404 ページでブラウザに送信される前に適切に検証されていません。これにより、攻撃者が制御するスクリプトがユーザーのブラウザで実行される可能性があります。

また、このインストールは、PHP コード実行、SQL インジェクション、その他のクロスサイトスクリプティングの問題など、その他の脆弱性による影響を受ける可能性があります。ただし、このプラグインは、これらをチェックしません。

遠端主機上有一個比 1.4.2.1 舊的 Zenphoto 版本，會受到多個弱點影響：

-「zp-core/zp-extensions/viewer_size_image.php」檔案有一個輸入驗證錯誤，其允許透過「viewer_size_image_saved cookie」cookie 值，插入任意 PHP 程式碼。請注意，外掛程式「viewer_size_image」必須為啟用狀態，此弱點才可能遭到惡意利用。(CVE-2012-0993)

-「zp-core/admin-albumsort.php」檔案有一個輸入驗證錯誤，可允許攻擊者透過「sortableList」參數發動 SQL 插入攻擊。
 (CVE-2012-0994)

- 下列項目存在多個跨網站指令碼弱點 (CVE-2012-0995)：

- 透過「msg」參數執行的「zp-core/admin.php」
 -「zp-core/admin.php」和附加惡意程式碼至 url 末尾的未定義 url
 - 透過「album」參數執行的「zp-core/admin-edit.php」

遠端主機包含一個受到跨網站指令碼弱點影響的 Zenphoto 安裝。

未正確驗證附加至 URL 結尾之使用者提供的輸入，便在自訂 404 頁面中將其傳送至瀏覽器，這可導致受攻擊者控制的指令碼在使用者的瀏覽器中執行。

該安裝也可能受到數個其他弱點影響，包括 PHP 程式碼執行、SQL 插入和其他跨網站指令碼問題。不過此外掛程式並未檢查這些問題。

远程主机包含的 Zenphoto 版本早于 1.4.2.1，受到多种漏洞的影响：

- 文件“zp-core/zp-extensions/viewer_size_image.php”中的输入验证错误可允许通过 Cookie“viewer_size_image_saved cookie”的值注入任意 PHP 代码。请注意，必须启用插件“viewer_size_image”才可利用此漏洞。(CVE-2012-0993)

- 文件“zp-core/admin-albumsort.php”中的输入验证错误可允许通过“sortableList”参数进行 SQL 注入攻击。
 (CVE-2012-0994)

- 以下各项中存在多种跨站脚本漏洞 (CVE-2012-0995)：

-“zp-core/admin.php”，通过“msg”参数
 -“zp-core/admin.php”和未定义的 url，通过将恶意代码附加到 url 结尾
 -“zp-core/admin-edit.php”，通过“album”参数

远程主机包含受到跨站脚本漏洞影响的 Zenphoto 安装。

用户提供的附加到 URL 结尾的输入在被发送到自定义 404 页面中的浏览器之前未得到正确验证，可导致在用户的浏览器中运行受攻击者控制的脚本。

该安装也很可能受到多个其他漏洞的影响，包括 PHP 代码执行、SQL 注入以及其他跨站脚本问题。但是，此插件不会检查这些漏洞。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
58454	Zenphoto < 1.4.2.1 Multiple Vulnerabilities	Nessus	CGI abuses	2012/3/23	2022/4/11	medium
58455	Zenphoto 404 Error Page XSS	Nessus	CGI abuses : XSS	2012/3/23	2022/4/11	medium
58454	1.4.2.1 より前の Zenphoto の複数の脆弱性	Nessus	CGI abuses	2012/3/23	2022/4/11	medium
58455	Zenphoto 404 エラーページの XSS	Nessus	CGI abuses : XSS	2012/3/23	2022/4/11	medium
58454	Zenphoto < 1.4.2.1 多個弱點	Nessus	CGI abuses	2012/3/23	2022/4/11	medium
58455	Zenphoto 404 錯誤頁面 XSS	Nessus	CGI abuses : XSS	2012/3/23	2022/4/11	medium
58454	Zenphoto < 1.4.2.1 多种漏洞	Nessus	CGI abuses	2012/3/23	2022/4/11	medium
58455	Zenphoto 404 错误页面 XSS	Nessus	CGI abuses : XSS	2012/3/23	2022/4/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium