Joomla 2.5.x < 3.9.19 多个漏洞 (5812-joomla-3-9-19)

high Nessus 插件 ID 137366

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Joomla! 实例版本是低于 3.9.19 的 2.5.x。因此，该主机受到多个漏洞的影响。

- 在 Joomla! 3.9.19 之前的版本中，由于 Articles - Newsflash 和 Articles - Categories 模块的标题标签选项缺少输入验证，因此会允许 XSS。
(CVE-2020-13761)

- 在 Joomla! 3.9.19 之前的版本中，全局 textfilter 配置的默认设置为不阻断 Guest 用户的 HTML输入。(CVE-2020-13763)

- 在 Joomla! 3.9.19 之前的版本中，由于 com_modules 中模块标签选项的输入验证不正确，因此会允许 XSS。
(CVE-2020-13762)

- 在高于或等于 1.2 并在 3.5.0 之前的 jQuery 版本中，如果将 HTML 从不受信任的来源传递至 jQuery 的任一 DOM 操作方法（即 .html()、append() 和其他方法），即使经过审查，也可能执行不受信任的代码。此问题已在 jQuery 3.5.0 中得到修补。(CVE-2020-11022)

- 在高于或等于 1.0.3 并在 3.5.0 之前的 jQuery 版本中，如果将包含元素的 HTML 从不受信任的来源传递至 jQuery 的任一 DOM 操作方法（即 .html()、append() 和其他方法），即使经过审查，也可能执行不受信任的代码。此问题已在 jQuery 3.5.0 中得到修补。(CVE-2020-11023)

- 在 3.9.19 之前的 Joomla! 中，com_postinstall 缺少的标记检查会导致 CSRF。(CVE-2020-13760)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。