根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 8.9.20 的 8.9.x，低于 9.1.14 的 9.1.x 或低于 9.2.9 的 9.2.x。因此，该实例因使用第三方组件 CKEditor 进行 WYSIWYG 编辑而受到跨站脚本漏洞的影响：

 - 在核心 HTML 处理模块中发现跨站脚本 (XSS)，此漏洞可能会影响 CKEditor 4 使用的所有插件。(CVE-2021-41165)

 - 在高级内容过滤器 (ACF) 模块中发现跨站脚本 (XSS)，此漏洞可能会影响 CKEditor 4 使用的所有插件。(CVE-2021-41164)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 8.9.20 的 8.9.x，低于 9.1.14 的 9.1.x 或低于 9.2.9 的 9.2.x。因此，该主机受到多个漏洞的影响。

  - CKEditor4 是开源 WYSIWYG HTML 编辑器。在受影响的版本中的高级内容过滤器 (ACF) 模块中发现一个漏洞，该漏洞可能影响 CKEditor 4 使用的所有插件。攻击者可利用此漏洞，注入格式错误的 HTML 绕过内容审查，进而执行 JavaScript 代码。此漏洞会影响使用 CKEditor 4 4.17.0 之前版本的所有用户。此问题已得到确认和修补。版本 4.17.0 中将提供修补程序。(CVE-2021-41164)

  - CKEditor4 是开源 WYSIWYG HTML 编辑器。在受影响的版本中的核心 HTML 处理模块中发现一个漏洞，该漏洞可能影响 CKEditor 4 使用的所有插件。攻击者可利用此漏洞，注入格式错误的注释 HTML 绕过内容审查，进而执行 JavaScript 代码。此漏洞会影响使用 CKEditor 4 4.17.0 之前版本的所有用户。此问题已得到确认和修补。版本 4.17.0 中将提供修补程序。(CVE-2021-41165)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Oracle Database Server 版本受到 2022 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 Oracle Database Enterprise Edition 分片组件中存在漏洞。
    受影响的支持版本是 19c。此漏洞很容易被利用，允许具有“创建任何程序”权限的高权限攻击者通过 Oracle Net 访问网络，从而破坏 Oracle Database Enterprise Edition 分片组件。成功攻击此漏洞可导致接管 Oracle Database Enterprise Edition 分片组件。(CVE-2022-21410)

  - Oracle Database Server 的 Java VM 组件中存在漏洞。受影响的支持版本是 12.1.0.2、19c 和 21c。此漏洞很容易被利用，允许具有“创建程序”权限的低权限攻击者通过 Oracle Net 访问网络，从而破坏 Java VM。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Java VM 可访问数据的访问权限。(CVE-2022-21498)

  - Oracle Database Server 的 RDBMS 网关/泛型 ODBC 连接组件中存在漏洞。
    受影响的支持版本是 12.1.0.2、19c 和 21c。此漏洞很容易被利用，允许具有“创建会话”权限的低权限攻击者通过 Oracle Net 访问网络，从而破坏 RDBMS 网关/泛型 ODBC 连接组件。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 RDBMS 网关/泛型 ODBC 连接组件可访问数据的访问权限，以及在未经授权的情况下读取访问这些组件可访问数据的子集。(CVE-2022-21411)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 IBM Engineering Requirements Management DOORS（以前称为 IBM Rational DOORS）版本是 9.7.2.x 之前的 9.7.2.8。因此，它受到 7124058 公告中提及的多个漏洞影响。

  - 1.9.1 之前的 Apache Shiro，在某些 servlet 容器上可能会错误配置 RegexRequestMatcher 以绕过它。在正则表达式中使用带有“.”的 RegExPatternMatcher 的应用程序可能容易受到授权绕过的影响。(CVE-2022-32532)

  - Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
    (CVE-2023-46604)

  - 2.13.9 之前的 Scala 2.13.x 在其 JAR 文件中存在 Java 反序列化链。它本身无法被利用。只有与应用程序内的 Java 对象反序列化结合使用时才会存在风险。在此类情况下，它会允许攻击者通过小工具链擦除任意文件的内容、建立网络连接或可能运行任意代码（特别是 Function0 函数）。(CVE-2022-36944)

  - IBM Engineering Requirements Management DOORS 9.7.2.7 是一个跨站请求漏洞，该漏洞允许攻击者执行从网站信任用户传输的恶意和未经授权的操作。IBM X-Force ID：251216。(CVE-2023-28949)

  4.14 之前的 CKEditor 4.0 的 HTML 数据处理器中存在跨站脚本 (XSS) 漏洞，该漏洞会允许远程攻击者通过构建的受保护注释 （带有 cke_protected 语法）注入任意 web 脚本。(CVE-2020-9281)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113064	Drupal 9.2.x < 9.2.9 跨站脚本	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
113066	Drupal 8.9.x < 8.9.20 跨站脚本	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
113065	Drupal 9.1.x < 9.1.14 跨站脚本	Web App Scanning	Component Vulnerability	2021/11/25	2023/3/14	medium
155559	Drupal 8.9.x < 8.9.20 / 9.1.x < 9.1.14 / 9.2.x < 9.2.9 多个漏洞 (drupal-2021-11-17)	Nessus	CGI abuses	2021/11/18	2023/9/28	medium
160079	Oracle Database Server（2022 年 4 月 CPU）	Nessus	Databases	2022/4/22	2023/10/31	high
191754	IBM Engineering Requirements Management DOORS 9.7.2.x < 9.7.2.8 多种漏洞 (7124058)	Nessus	Windows	2024/3/8	2024/3/12	critical

检测

插件搜索

medium

medium

medium

medium

high

critical