The web interface for VLC media player listening on the remote host does not require authentication, which allows an unauthenticated remote attacker to issue XML service commands via the VLC Web Interface.

The version of VLC media player installed on the remote host is earlier than 2.0.7 and is, therefore, affected by the following vulnerabilities:

  - The web interface contains a flaw that does not validate     input passed via XML services resulting in a cross-site     scripting vulnerability.

  - A flaw exists in the XML services of the web interface     that may allow a remote attacker to execute media player     commands.

  - A flaw exists that could lead to a denial of service /     memory consumption when loading a malicious playlist.

The VLC media player install on the remote host is affected by a cross-site scripting vulnerability because it fails to sanitize input passed via XML services in the web interface. 

Note that the install is likely to be affected by additional vulnerabilities as well, although Nessus has not tested for these issues.

リモートホストにインストールされている VLC Media Player のバージョンが 2.0.7 より前のため、次の脆弱性の影響を受けます。

  - Web インターフェイスには、XML サービスから渡された入力を検証しない欠陥が含まれています。これにより、クロスサイトスクリプティングの脆弱性が発生します。

  - Web インターフェイスの XML サービスに、欠陥が存在しています。これにより、リモートの攻撃者が media player コマンドを実行する可能性があります。

  - 悪意のあるプレイリストを読み取る際に、サービス拒否/メモリ消費を引き起こす可能性のある欠陥が存在しています。

リモートホストにインストールされている VLC media player は、クロスサイトスクリプティング脆弱性の影響を受けます。これは、Web インターフェイスの XML サービスで受け渡される入力を、適切にサニタイズできないためです。

注意：このインストールは、追加の脆弱性によっても影響を受けますが、Nessus ではこれらの追加の問題をテストしていません。

リモートホストでリッスン中の VLC media player 用の Web インターフェイスでは認証が不要であるため、認証されていないリモートの攻撃者は、VLC Web インターフェイスを通じて、XML サービスコマンドを発行することが可能です。

遠端主機上安裝的 VLC Media Player 版本比 2.0.7 舊，因此會受到下列弱點影響：

- Web 介面存有一個瑕疵，造成未驗證透過 XML 服務傳遞的輸入，進而導致跨網站指令碼弱點。

- Web 介面的 XML 服務中存有一個瑕疵，可能允許遠端攻擊者執行 Media Player 命令。

- 存在一個瑕疵，可在載入惡意播放清單時，導致拒絕服務/記憶體消耗。

遠端主機上正在接聽之 VLC Media Player 的 Web 介面不需要驗證，進而允許未經驗證的遠端攻擊者透過 VLC Web 介面發出 XML 服務命令。

远程主机上安装的 VLC 媒体播放器受到跨站脚本漏洞的影响，因为它无法审查 Web 接口中通过 XML 服务传递的输入。

请注意，该安装很可能还受到更多漏洞的影响，但 Nessus 尚未对这些问题进行测试。

侦听远程主机的 VLC 媒体播放器 Web 接口不需要认证，这允许未经认证的远程攻击者通过 VLC Web 接口发出 XML 服务命令。

远程主机上安装的 VLC 媒体播放器版本低于 2.0.7，因此受到以下漏洞的影响：

- Web 界面包含一个缺陷，不会对通过 XML 服务传递的输入进行验证，从而导致跨站脚本漏洞。

- Web 界面的 XML 服务中存在一个缺陷，可能允许远程攻击者执行媒体播放器命令。

- 存在一个缺陷，可在加载恶意播放列表时导致拒绝服务/内存消耗。

遠端主機上的 VLC media player 安裝受到跨網站指令碼弱點影響，因為它無法清理透過 Web 介面中的 XML 服務傳遞的輸入。

請注意，安裝也可能受到其他弱點影響，但 Nessus 尚未針對這些問題測試。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
69017	VLC Web Interface XML Services Remote Command Execution	Nessus	CGI abuses	2013/7/23	2021/1/19	medium
69015	VLC < 2.0.7 Multiple Vulnerabilities	Nessus	Windows	2013/7/23	2019/11/27	medium
69018	VLC Web Interface XML Services XSS	Nessus	CGI abuses : XSS	2013/7/23	2021/1/19	medium
69015	VLC < 2.0.7 複数の脆弱性	Nessus	Windows	2013/7/23	2019/11/27	medium
69018	VLC Web Interface XML Services の XSS	Nessus	CGI abuses : XSS	2013/7/23	2021/1/19	medium
69017	VLC Web Interface XML Services リモートコマンドの実行	Nessus	CGI abuses	2013/7/23	2021/1/19	medium
69015	VLC < 2.0.7 多個弱點	Nessus	Windows	2013/7/23	2019/11/27	medium
69017	VLC Web 介面 XML 服務遠端命令執行	Nessus	CGI abuses	2013/7/23	2021/1/19	medium
69018	VLC Web 接口 XML 服务 XSS	Nessus	CGI abuses : XSS	2013/7/23	2021/1/19	medium
69017	VLC Web 接口 XML 服务远程命令执行	Nessus	CGI abuses	2013/7/23	2021/1/19	medium
69015	VLC < 2.0.7 多种漏洞	Nessus	Windows	2013/7/23	2019/11/27	medium
69018	VLC Web 介面 XML 服務 XSS	Nessus	CGI abuses : XSS	2013/7/23	2021/1/19	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium