根据其自我报告的版本号，在远程主机上监听的 Apache Tomcat 实例为低于 6.0.30 的 6.x 或者低于 7.0.5 的 7.x。因此，受到 Tomcat Manager 应用程序中“sessionList.jsp”文件的多个跨站脚本漏洞影响。将参数“sort”和“orderby”返回用户之前，没有对这两个参数进行正确的审查。攻击者可利用此漏洞来向用户浏览器注入任意脚本。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

另请注意，对于 Tomcat 7.x，只有在禁用跨站请求伪造 (CSRF) 过滤器的情况下才能成功利用此问题。

检测

Apache Tomcat 6.x < 6.0.30 / 7.x < 7.0.5 多种 XSS

medium Nessus 插件 ID 51526

未找到变更日志