JVNVU#92053563
XOOPS 用モジュール XooNIps における複数の脆弱性

XOOPS 用モジュール XooNIps には、複数の脆弱性が存在します。

• XooNIps 3.49 およびそれ以前

理化学研究所 脳神経科学研究センター 統合計算脳科学連携部門 神経情報基盤開発ユニットが提供する XOOPS 用モジュール XooNIps には、次の複数の脆弱性が存在します。

• SQL インジェクション (CWE-89) - CVE-2020-5659

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

  基本値: 6.3

• 反射型クロスサイトスクリプティング (CWE-79) - CVE-2020-5662

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

  基本値: 4.6

• 格納型クロスサイトスクリプティング (CWE-79) - CVE-2020-5663

  CVSS v3

  CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

  基本値: 4.6

• 信頼できないデータのデシリアライズ (CWE-502) - CVE-2020-5664

  CVSS v3

  CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

  基本値: 8.1

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログイン済みのユーザによって、データベース内の情報を取得されたり、改ざんされたりする - CVE-2020-5659
• 当該製品を使用しているユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2020-5662, CVE-2020-5663
• 当該製品にログイン済みのユーザによって、信頼できないデータをデシリアライズされ、任意のコードを実行される - CVE-2020-5664

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。