根据其自我报告的版本号，远程主机上安装的 JFrog Artifactory 版本低于 6.23.0。因此，该应用程序受到多个漏洞的影响：

  - SnakeYAML 1.18 中的别名功能允许在加载操作期间扩展实体。(CVE-2017-18640)

  - 遇到特别构建的输入时，Apache Commons Compress 1.15 至 1.18 内部使用的文件名编码算法可进入无限循环。如果攻击者可选择 Compress 创建的存档中的文件名，则可导致拒绝服务攻击。(CVE-2019-12402)

  - 在版本 3.6.2 之前和 3.7.1 之前的版本 3.7.0 Atlassian Crowd 中，OpenID 客户端应用程序允许远程攻击者通过 XML 实体扩展漏洞发起拒绝服务攻击。(CVE-2019-20104)

  - 在 Go 1.13.13 之前的版本以及 1.14.x 之前的 1.14.5 版本中，某些 net/http 服务器中存在数据争用（httputil.ReverseProxy 处理程序即为一例），因为它同时读取请求主体并写入响应。(CVE-2020-15586)

  - 未按照适用于 Native Apps 的 OAuth 2.0 的 RFC 实现 PKCE 支持。如果没有使用 PKCE，攻击者可通过在客户端上使用恶意应用程序来获取授权代码，并用其获得受保护资源的授权。(CVE-2020-7692)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

JFrog < 6.23.0 多个漏洞

critical Nessus 插件 ID 147722

版本 1.6