JVN#36791327
FitNesseにおける複数の脆弱性

unclebobが提供するFitNesseには複数の脆弱性が存在します。

• FitNesse リリース 20241026より前のバージョン

unclebobが提供するFitNesseには、responderプラグイン設定に関わる次の複数の脆弱性が存在します。

• クロスサイトスクリプティング (CWE-79) 
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値 6.1
  • CVE-2024-39610
• パストラバーサル（CWE-22）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
  • CVE-2024-42499

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品を使用しているユーザーのWebブラウザ上で、任意のスクリプトを実行される（CVE-2024-39610）
• 特定のパスのファイル有無を判定されたり、特定の条件下でファイル内容の一部を取得されたりする（CVE-2024-42499）

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
本脆弱性は、以下のバージョンで修正されています。

• FitNesse リリース 20241026