远程主机上安装的 IBM WebSphere Portal 7.0.0.x 版本低于 7.0.0.2 CF29。因此，它受到多种漏洞的影响：

- Apache Struts ClassLoader 中存在远程代码执行漏洞。远程攻击者可通过操纵 ActionForm 对象的“class”参数来利用此问题执行任意代码。
 (CVE-2014-0114)

- 存在一个跨站脚本漏洞，允许经过认证的远程攻击者注入任意 Web 脚本或 HTML。(CVE-2014-0910)

- 存在不明拒绝服务漏洞，允许远程攻击者通过发送特别构建的 Web 请求造成资源消耗，从而造成主机崩溃。(CVE-2014-0949)

- 由于没有正确验证用户提供的输入，因此“boot_config.jsp”脚本中存在跨站脚本漏洞。攻击者可利用此问题在用户浏览器的安全环境中执行任意脚本代码，以窃取认证 Cookie。
 (CVE-2014-0952)

- 由于没有正确验证用户提供的输入，因而存在不明的跨站脚本漏洞。
 (CVE-2014-0953)

- 由于没有正确处理 JSP 包含，Web 内容查看器 portlet 存在权限升级漏洞。远程攻击者可利用该问题通过发送特别构建的 URL 请求，获得敏感信息，造成拒绝服务，或控制请求调度程序。(CVE-2014-0954)

- 由于没有正确验证用户提供的输入，因而存在不明的跨站脚本漏洞。攻击者可利用此问题在用户的 Web 浏览器的安全环境中执行任意脚本代码，以窃取认证 Cookie。(CVE-2014-0956)

- 存在不明拒绝服务漏洞，允许经过授权的攻击者导致成功登录，无限循环回登录页面。(CVE-2014-0959)

- 存在不明的信息泄露漏洞，使远程攻击者能够获取对敏感信息的访问权限。(CVE-2014-3083)

- 由于没有正确验证用户提供的输入，因而存在不明的跨站脚本漏洞。攻击者可利用此问题在用户浏览器的安全环境中执行任意脚本代码。(CVE-2014-3102)

- 存在信息泄露漏洞，原因是攻击者可利用返回的错误代码识别防火墙之后的设备。(CVE-2014-4746)

- 存在不明的开放重定向漏洞，允许攻击者通过诱使用户点击恶意 URL 来执行钓鱼攻击。
 (CVE-2014-4760)

- 存在信息泄露漏洞，使经过认证的远程攻击者可通过某些 HTML 页面获取对敏感信息（例如用户凭据）的访问权限。(CVE-2014-4761)

- 存在不受限制的文件上传漏洞，使经过认证的远程攻击者能够上传大型文件，可能导致拒绝服务。
 (CVE-2014-4792)

- 存在不明的漏洞，使通过认证的攻击者可在系统中执行任意代码。(CVE-2014-4808)

- 由于未在实体扩展期间正确执行递归检测，因而存在缺陷。远程攻击者可通过特别构建的 XML 文档导致系统崩溃，从而引发拒绝服务。(CVE-2014-4814)

- 存在信息泄露漏洞，使远程攻击者可根据 Web 服务器错误代码识别文件是否存在。
 (CVE-2014-4821)

- 存在不明跨站脚本漏洞，允许经过认证的远程攻击者通过特别构建的 URL 执行任意代码。
 (CVE-2014-6093)

- 由于没有正确验证用户提供的输入，因而存在不明的反射式跨站脚本漏洞。远程攻击者可利用此缺陷，通过特别构建的 URL 在运行网站的安全环境的用户 Web 浏览器中执行任意脚本代码。这导致攻击者可窃取用户的基于 cookie 的认证凭据。(CVE-2014-6215)

- 由于没有正确验证用户提供的输入，因而存在不明的反射式跨站脚本漏洞。远程攻击者可利用此缺陷，通过特别构建的 URL 在运行网站的安全环境的用户 Web 浏览器中执行任意脚本代码。这导致攻击者可窃取用户的基于 cookie 的认证凭据。(CVE-2014-8909)

- 存在不明缺陷，会在处理门户请求时触发。远程攻击者可利用此缺陷消耗 CPU 资源，从而导致拒绝服务。(CVE-2015-1943)

远程主机上安装的 IBM WebSphere Portal 版本受到多种漏洞的影响：

- Apache Commons FileUpload 库中存在一个拒绝服务漏洞，允许攻击者导致应用程序进入无限循环。
 (CVE-2014-0050)

- 存在不明的拒绝服务漏洞，远程攻击者可利用此漏洞通过发送特别构建的 Web 请求导致主机崩溃。
 (CVE-2014-0949)

- 由于没有对用户输入进行正确验证，“FilterForm.jsp”脚本存在跨站脚本 (XSS) 漏洞。(CVE-2014-0951)

- 由于未正确验证用户输入，“boot_config.jsp”脚本中存在一个 XSS 漏洞。
 (CVE-2014-0952)

- 存在一个不明 XSS 漏洞，原因是未正确验证用户输入。(CVE-2014-0953)

- 由于没有正确处理 JSP 包含，Web 内容查看器 portlet 存在权限升级漏洞。远程攻击者可利用该问题通过发送特别构建的 URL 请求，获得敏感信息，造成拒绝服务，或控制请求调度程序。(CVE-2014-0954)

- Social Rendering 功能中存在一个 XSS 漏洞，原因是未正确验证用户输入。请注意，此问题仅影响使用具有 Social Rendering 功能的 IBM Connections 的安装版本。(CVE-2014-0955)

- 存在一个不明 XSS 漏洞，原因是未正确验证 JSP 脚本中的用户输入。
 (CVE-2014-0956)

- 存在不明的开放重定向漏洞，允许攻击者通过诱使用户点击恶意 URL 来执行钓鱼攻击。
 (CVE-2014-0958)

- 存在不明拒绝服务漏洞，允许经过授权的攻击者导致成功登录，无限循环回登录页面。(CVE-2014-0959)

攻击者可利用 XSS 漏洞在用户浏览器的安全环境中执行代码，从而窃取认证 Cookie。

远程主机上的 IBM WebSphere Portal 版本受到 Web 内容查看器 portlet 中的权限升级漏洞的影响，原因是未正确处理 JSP 包含文件。远程攻击者能够通过发送特别构建的 URL 请求来获得敏感信息、造成拒绝服务，或控制请求调度程序。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79691	IBM WebSphere Portal 7.0.0.x < 7.0.0.2 CF29 多种漏洞	Nessus	CGI abuses	2014/12/3	2021/1/19	high
74156	IBM WebSphere Portal 8.x < 8.0.0.1 CF12 多种漏洞	Nessus	CGI abuses	2014/5/23	2021/1/19	high
74160	IBM WebSphere Portal Web 内容查看器 Portlet 权限升级 (PI15723)	Nessus	CGI abuses	2014/5/23	2021/1/19	medium

检测

插件搜索

high

high

medium