According to its version number, the CommonSpot install hosted on the remote web server is affected by multiple vulnerabilities :

  - An access restriction bypass via a direct request.
    (CVE-2014-2859)

  - Multiple cross-site scripting (XSS) vulnerabilities.
    (CVE-2014-2860, CVE-2014-2861)

  - Improper authorization checks in unspecified requests     can allow a remote, unauthenticated attacker to perform     unauthorized actions. (CVE-2014-2862)

  - Multiple path traversal vulnerabilities allow remote,     unauthenticated attackers to request full pathnames in     parameters. (CVE-2014-2863)

  - Multiple directory traversal vulnerabilities.
    (CVE-2014-2864)

  - The application fails to restrict the use of a NULL     byte, which can be used to bypass access restrictions.
    (CVE-2014-2865)

  - The application uses client JavaScript code for access     restrictions, which can be bypassed with attacker-     controlled JavaScript. (CVE-2014-2866)

  - Unrestricted file uploads could allow for dangerous     file types to be added to the server. (CVE-2014-2867)

  - Multiple pages allow a remote attacker to override     ColdFusion variables via HTTP GET requests.
    (CVE-2014-2868)

  - Multiple pages allow for information disclosure.
    (CVE-2014-2869)

  - The application stores credentials in plaintext in the     underlying application database by default.
    (CVE-2014-2870)

  - The application transmits credentials in cleartext via     HTTP.  (CVE-2014-2871)

  - Multiple directory listings allow for potential access     to sensitive information. (CVE-2014-2872)

  - The application allows unauthenticated access to log     files allowing for information disclosure.
    (CVE-2014-2873)

  - The application allows remote, unauthenticated attackers     to execute arbitrary commands with arbitrary parameters.
    (CVE-2014-2874)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

バージョン番号によると、リモート Web サーバーでホストされている CommonSpot は、複数の脆弱性による影響を受けます：

- ダイレクトリクエストによるアクセス制限のバイパス。
 （CVE-2014-2859）

- 複数のクロスサイトスクリプティング（XSS）の脆弱性です。
 （CVE-2014-2860、CVE-2014-2861）

- 詳細不明なリクエストでの不適切な認証チェックによって、認証されていないリモートの攻撃者が未認証のアクションを実行する可能性があります。（CVE-2014-2862）

- 複数のパストラバーサルの脆弱性によって、認証されていないリモートの攻撃者がパラメーターでフルパス名をリクエストすることができます。（CVE-2014-2863）

- 複数のディレクトリトラバーサルの脆弱性。
 （CVE-2014-2864）

- アプリケーションが NULL バイトの使用を制限できず、これがアクセス制限のバイパスに利用される可能性があります。
 （CVE-2014-2865）

- アプリケーションが、アクセス制限にクライアント JavaScript コードを使用し、これが攻撃者がコントロールする JavaScript によってバイパスされる可能性があります。（CVE-2014-2866）

- 無制限のファイルアップロードによって、危険なファイルタイプがサーバーに追加される可能性があります。（CVE-2014-2867）

- 複数のページによって、リモートの攻撃者が HTTP GET リクエストを介して ColdFusion 変数をオーバーライドすることができます。
 （CVE-2014-2868）

- 複数のページによって情報漏洩が可能になります。
 （CVE-2014-2869）

- アプリケーションは、デフォルトで、下層のアプリケーションデータベースに認証情報を平文で保存します。
 （CVE-2014-2870）

- アプリケーションは、HTTP を介して平文で認証情報を転送します。（CVE-2014-2871）

- 複数のディレクトリリスト表示により、機密情報にアクセスできる可能性があります。（CVE-2014-2872）

- アプリケーションがログファイルへの認証されていないアクセスを許可し、これによって情報漏洩が可能になります。
 （CVE-2014-2873）

- アプリケーションによって、認証されていないリモートの攻撃者が任意のパラメーターを使って任意のコマンドを実行できます。
 （CVE-2014-2874）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

根據其版本號碼，遠端 Web 伺服器上主控的 CommonSpot 安裝受到多個弱點影響：

- 透過直接要求造成的存取限制繞過。
 (CVE-2014-2859)

- 多個跨網站指令碼 (XSS) 弱點。
 (CVE-2014-2860、CVE-2014-2861)

- 不明要求中的不當授權檢查可允許未經驗證的遠端攻擊者執行未經授權的動作。(CVE-2014-2862)

- 多個路徑遊走弱點允許未經驗證的遠端攻擊者要求參數中的完整路徑名稱。(CVE-2014-2863)

- 多個目錄遊走弱點。
 (CVE-2014-2864)

- 應用程式無法限制 NULL 位元組的使用，其可用來繞過存取限制。
 (CVE-2014-2865)

- 應用程式的存取限制是使用用戶端 JavaScript 程式碼，而該存取限制可利用攻擊者控制的 JavaScript 來繞過。(CVE-2014-2866)

- 不受限制的檔案上傳可允許將危險檔案類型新增至伺服器。(CVE-2014-2867)

- 多個頁面允許遠端攻擊者透過 HTTP GET 要求覆寫 ColdFusion 變數。
 (CVE-2014-2868)

- 多個頁面允許資訊洩漏。
 (CVE-2014-2869)

- 應用程式預設為在基礎應用程式資料庫中以純文字儲存認證。
 (CVE-2014-2870)

- 應用程式透過 HTTP 以純文字傳輸認證。(CVE-2014-2871)

- 多個目錄清單允許可能的敏感資訊存取。(CVE-2014-2872)

- 應用程式允許未經驗證的記錄檔存取，這會導致資訊洩漏。
 (CVE-2014-2873)

- 應用程式允許未經驗證的遠端攻擊者利用任意參數執行任意命令。
 (CVE-2014-2874)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其版本号，远程 Web 服务器上托管的 CommonSpot 安装受到多种漏洞的影响：

- 通过直接请求导致的访问限制绕过。
 (CVE-2014-2859)

- 多种跨站脚本 (XSS) 漏洞。
 （CVE-2014-2860、CVE-2014-2861）

- 不明请求中的授权检查不当可允许未经认证的远程攻击者执行未授权的操作。(CVE-2014-2862)

- 多种路径遍历漏洞允许未经认证的远程攻击者请求获得参数的完整路径名。(CVE-2014-2863)

- 多种目录遍历漏洞。
 (CVE-2014-2864)

- 应用程序不能限制空字节的使用，该漏洞可被用来绕过访问限制。
 (CVE-2014-2865)

- 应用程序使用客户端 JavaScript 代码进行访问限制，通过攻击者控制的 JavaScript 可绕过此访问限制。(CVE-2014-2866)

- 未受限制的文件上传可导致将危险的文件类型添加到服务器。(CVE-2014-2867)

- 多个页面允许远程攻击者通过 HTTP GET 请求替代 ColdFusion 变量。
 (CVE-2014-2868)

- 多个页面允许信息泄露。
 (CVE-2014-2869)

- 应用程序默认以明文将凭据存储到底层应用程序数据库中。
 (CVE-2014-2870)

- 应用程序通过 HTTP 传输明文凭据。(CVE-2014-2871)

- 多种目录清单允许对敏感信息的潜在访问。(CVE-2014-2872)

- 应用程序允许对日志文件进行未经认证的访问，从而允许信息泄露。
 (CVE-2014-2873)

- 应用程序允许未经认证的远程攻击者通过任意参数执行任意命令。
 (CVE-2014-2874)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
73611	CommonSpot < 7.0.2 / 8.0.3 / 9.0.0 Multiple Vulnerabilities	Nessus	CGI abuses	2014/4/18	2024/6/4	critical
73611	CommonSpot < 7.0.2/8.0.3/9.0.0 複数の脆弱性	Nessus	CGI abuses	2014/4/18	2024/6/4	critical
73611	CommonSpot < 7.0.2 / 8.0.3 / 9.0.0 多個弱點	Nessus	CGI abuses	2014/4/18	2024/6/4	critical
73611	CommonSpot < 7.0.2 / 8.0.3 / 9.0.0 多种漏洞	Nessus	CGI abuses	2014/4/18	2024/6/4	critical

检测

插件搜索

critical

critical

critical

critical