Dotnetnuke < 10.3.3 用户注册批准授权绕过 （GHSA-fpr5-67pq-3hf5）
high Nessus 插件 ID 339646
语言：
简介
远程 Web 服务器上运行的 ASP.NET 应用程序受到一个漏洞影响。描述
根据其自我报告的版本，远程 Web 服务器上运行的 Dotnetnuke 实例版本低于 10.3.3.因此，该软件受到一个漏洞影响。
- 授权漏洞可允许经过认证的用户在没有管理权限的情况下批准待定的用户注册。对新用户注册使用管理员批准的站点应立即升级，以确保正确限制注册批准操作。在平台的用户注册批准流程中发现一个漏洞，在批准待定的用户帐户之前，授权检查未一致地强制执行。在某些情况下，经过认证且拥有最低权限的用户可执行注册审批操作，这些操作应仅限于经授权的管理员执行。成功利用此漏洞可绕过对新用户注册的行政审查，从而允许待定帐户在未执行预期审批流程的情况下变为活动状态。这破坏了监管注册工作流程的完整性，并可能允许未经授权或自我批准的帐户访问该站点。这种影响对于依赖管理员批准作为安全控制的网站尤其严重，例如私人社区、Intranet、客户门户或受监管的环境，在这些环境中，帐户批准用于在授予访问权限之前验证身份、资格或组织隶属关系。在这些环境中，成功利用可允许未经授权的用户获得受保护内容或功能本应需要管理批准的访问权限。（GHSA-fpr5-67pq-3hf5）
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Dotnetnuke 版本 10.3.3 或更高版本。另见
插件详情
严重性: High
ID: 339646
文件名: dotnetnuke_GHSA-fpr5-67pq-3hf5.nasl
版本: 1.1
类型: Remote
系列: CGI abuses
发布时间: 2026/8/26
最近更新时间: 2026/8/26
支持的传感器: Nessus
Enable CGI Scanning: true
漏洞信息
CPE: cpe:/a:dnnsoftware:dotnetnuke, cpe:/a:dotnetnuke:dotnetnuke
必需的 KB 项: installed_sw/DNN
排除的 KB 项: Settings/disable_cgi_scanning
易利用性: No known exploits are available
补丁发布日期: 2026/8/25
漏洞发布日期: 2026/8/25
参考资料信息
CWE: 639