根据其版本号，远程 Web 服务器上托管的 CommonSpot 安装受到多种漏洞的影响：

- 通过直接请求导致的访问限制绕过。
 (CVE-2014-2859)

- 多种跨站脚本 (XSS) 漏洞。
 （CVE-2014-2860、CVE-2014-2861）

- 不明请求中的授权检查不当可允许未经认证的远程攻击者执行未授权的操作。(CVE-2014-2862)

- 多种路径遍历漏洞允许未经认证的远程攻击者请求获得参数的完整路径名。(CVE-2014-2863)

- 多种目录遍历漏洞。
 (CVE-2014-2864)

- 应用程序不能限制空字节的使用，该漏洞可被用来绕过访问限制。
 (CVE-2014-2865)

- 应用程序使用客户端 JavaScript 代码进行访问限制，通过攻击者控制的 JavaScript 可绕过此访问限制。(CVE-2014-2866)

- 未受限制的文件上传可导致将危险的文件类型添加到服务器。(CVE-2014-2867)

- 多个页面允许远程攻击者通过 HTTP GET 请求替代 ColdFusion 变量。
 (CVE-2014-2868)

- 多个页面允许信息泄露。
 (CVE-2014-2869)

- 应用程序默认以明文将凭据存储到底层应用程序数据库中。
 (CVE-2014-2870)

- 应用程序通过 HTTP 传输明文凭据。(CVE-2014-2871)

- 多种目录清单允许对敏感信息的潜在访问。(CVE-2014-2872)

- 应用程序允许对日志文件进行未经认证的访问，从而允许信息泄露。
 (CVE-2014-2873)

- 应用程序允许未经认证的远程攻击者通过任意参数执行任意命令。
 (CVE-2014-2874)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

检测

CommonSpot < 7.0.2 / 8.0.3 / 9.0.0 多种漏洞

critical Nessus 插件 ID 73611

未找到变更日志