远程主机上运行的 QlikView Server 版本为低于 11.20 SR12 的 11.20。因此，它受到 /AccessPoint.aspx 脚本中一个 XML 外部实体 (XXE) 注入漏洞（尤其是 DTD 参数注入）的影响，造成该缺陷的原因是未正确配置的 XML 解析器接受了不受信任来源的 XML 外部实体。未经认证的远程攻击者可利用此漏洞，通过构建的 XML 数据，发动服务器端请求伪造 (SSRF) 攻击和读取任意文件。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

检测

QlikView Server AccessPoint XML 外部实体注入

medium Nessus 插件 ID 91782

未找到变更日志