Dotnetnuke < 10.3.3 HTML 模块内容的可选 JavaScript 限制 （GHSA-mjq6-87j6-5f4g）
high Nessus 插件 ID 339554
语言：
简介
远程 Web 服务器上运行的 ASP.NET 应用程序受到一个漏洞影响。描述
根据其自我报告的版本，远程 Web 服务器上运行的 Dotnetnuke 实例版本低于 10.3.3.因此，该软件受到一个漏洞影响。
- HTML 模块历来允许受信任的内容编辑器在 HTML 内容中包含 JavaScript。新增了一个安全选项，允许管理员防止将可执行脚本存储在 HTML 模块内容中，从而在内容编辑器未受到完全信任的环境中降低发生跨站脚本 （XSS） 的风险。HTML 模块传统上允许具有内容编辑权限的用户创建丰富的 HTML 内容，包括 JavaScript。虽然在许多信任内容编辑器的部署中预期此行为，但在将内容编辑权限委派给不应获准执行客户端代码的用户的环境中，可能存在安全风险。为提高部署灵活性，DNN 现在包含一个选项，可在 HTML 模块内容中禁止使用 JavaScript。新安装默认启用此保护。现有安装保留其当前行为以保持兼容性，但如果内容编辑器不打算发布可执行脚本，建议管理员评估启用新设置。此增强功能提供了针对跨站脚本 （XSS） 的额外一层防御，同时允许管理员选择最适合其站点信任模型的行为。（GHSA-mjq6-87j6-5f4g）
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Dotnetnuke 版本 10.3.3 或更高版本。另见
插件详情
严重性: High
ID: 339554
文件名: dotnetnuke_GHSA-mjq6-87j6-5f4g.nasl
版本: 1.1
类型: Remote
系列: CGI abuses
发布时间: 2026/8/26
最近更新时间: 2026/8/26
支持的传感器: Nessus
Enable CGI Scanning: true
漏洞信息
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必需的 KB 项: installed_sw/DNN
排除的 KB 项: Settings/disable_cgi_scanning
易利用性: No known exploits are available
补丁发布日期: 2026/8/25
漏洞发布日期: 2026/8/25