FreeBSD：foswiki -- 通过未检查的用户注册字段导致的脚本插入漏洞 (495b46fd-a30f-11e1-82c9-d0df9acfd7e5)

low Nessus 插件 ID 59206

语言：

简介

远程 FreeBSD 主机缺少与安全相关的更新。

描述

Foswiki 团队报告：

当新用户注册时，新用户可向 RegistrationAgent 通过“FirstName”或“OrganisationName”等标准注册字段生成的用户主题中添加任意 HTML 和脚本代码。

根据设计，假设经过认证的用户具有 CHANGE 权限（这是许多 Foswiki 站点中的情况），则 Foswiki 的正常编辑功能可允许包括脚本代码在内的任意 HTML 标记以任何方式插入到任何主题。但是，如果新用户利用此警告中详细说明的漏洞操纵注册代理为其创建此内容，则仅具有 CHANGE 权限的认证用户可创建脚本内容的假定是错误的。