远程主机正在运行低于 build 9103 的 ManageEngine ServiceDesk Plus 版本 9.1.0。因此，该服务器受到多个漏洞的影响：

  - 存在一个跨站脚本漏洞，原因是对用户在“登录”页面上提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个跨站脚本漏洞，原因是在添加新的软件许可证类型或选项时对用户提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 软件详细信息页面上的文件附件 URL 中存在一个不明缺陷。

  - 存在一个跨站脚本漏洞，原因是在通过电子邮件发送报告时对用户提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个跨站脚本漏洞，原因是在完成“添加新任务”操作时对用户向“module”和“from”参数提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个跨站脚本漏洞，原因是对用户向“Solution”模块中的“UNIQUE_ID”参数提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个跨站脚本漏洞，原因是对用户向电子邮件通知窗口提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个跨站脚本漏洞，原因是对用户向请求模板、提醒和技术员日历提供的输入未正确验证。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在因不明缺陷导致的安全绕过漏洞。经过认证的远程攻击者可利用此漏洞来更新事件详细信息。

  - 存在因不明缺陷导致的安全绕过漏洞。经过认证的远程攻击者可利用此漏洞来访问问题和更改详细信息。

  - 由于没有正确验证用户提供的输入，因而存在跨站脚本漏洞。远程攻击者可利用此问题通过特别构建的请求执行任意脚本代码。

  - 存在一个 SQL 注入漏洞，原因是在 SQL 查询用使用由用户提供的输入之前对输入内容未正确审查。远程攻击者可利用此漏洞来注入或操纵 SQL 查询，从而导致操纵或泄露任意数据。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

检测

ManageEngine ServiceDesk Plus 9.1.0 < Build 9103 多种漏洞

high Nessus 插件 ID 85599

未找到变更日志