远程 Ubuntu 20.04 LTS 主机上安装的一个程序包受到 USN-5482-2 公告中提及的多个漏洞影响。

  - SPIP 4.0.0 受到跨站脚本 (XSS) 漏洞的影响。若要利用此漏洞，访客必须浏览至恶意 SVG 文件。该漏洞让经过身份验证的攻击者可以将在客户端运行的恶意代码注入其他用户访问的网页（存储的 XSS）。
    (CVE-2021-44118)

  - SPIP 4.0.0 受到 ecrire/public/interfaces.php 中的跨站脚本 (XSS) 漏洞的影响，此漏洞可将函数 safehtml 添加到易受攻击的字段。编辑者可以修改其个人信息。如果编辑者撰写了一篇文章并且该文章可供访问，则当某个用户前往公众网站查看作者信息时，系统便会执行恶意代码。“人物简介”和“网站名称”字段容易受到攻击。(CVE-2021-44120)

  - SPIP 4.0.0 受到 ecrire/public/aiguiller.php、ecrire/public/balises.php、ecrire/balise/formulaire_.php 中的跨站请求伪造 (CSRF) 漏洞的影响。若要利用此漏洞，访客必须访问重定向到 SPIP 网站的恶意网站。也可以结合 SPIP 4.0.0 中的 XSS 漏洞来利用该漏洞。此漏洞让经过身份验证的攻击者可以在网站用户不知情的情况下执行恶意代码 (CSRF)。
    (CVE-2021-44122)

  - SPIP 4.0.0 受到远程命令执行漏洞的影响。若要利用此漏洞，攻击者必须构建并上传具有双重扩展名的恶意图片，然后单击予以执行。(CVE-2021-44123)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 20.04 LTS：SPIP 漏洞 (USN-5482-2)

high Nessus 插件 ID 172054

版本 1.1

版本 1.0

版本 1.1 Oct 21, 2023, 5:06 AM Detection Exploit attributes ("Exploit available" set to "False") Plugin Feed: 202310210506
版本 1.0 Mar 2, 2023, 7:59 PM New Plugin Feed: 202303021959