DotNetNuke (DNN)

In DNN (vormals DotNetNuke) vor den Versionen 9.13.10 und 10.2.0 unterstützt der Modul-Titel Richtext, der in bestimmten Szenarien eingebettete Skripte zur Ausführung bringen kann. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 9.13.10 oder 10.2.0.

DNN (früher DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem. Vor Version 10.1.1 erlaubt der standardmässige HTML-Editor-Provider unauthentifizierte Datei-Uploads, und Bilder können bestehende Dateien überschreiben. Ein unauthentifizierter Nutzer kann Dateien hochladen und ersetzen, was das Verunstalten einer Website ermöglicht und in Kombination mit einem weiteren Problem das Einschleusen von XSS-Payloads erlaubt. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 10.1.1 einspielen.

DNN (früher DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem. Vor Version 10.1.0 erlaubt das Prompt-Modul die Ausführung von Befehlen, die rohes HTML zurückgeben können. Bösartige Eingaben können, selbst wenn sie für die Anzeige an anderer Stelle bereinigt wurden, bei der Verarbeitung durch bestimmte Befehle ausgeführt werden, was zu möglicher Skriptausführung (XSS) führt. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf 10.1.0.

DNN (früher DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Oekosystem. In Versionen vor 10.2.2 konnte ein Benutzer eine speziell praeparierte SVG-Datei hochladen, die Skripte enthält und sowohl authentifizierte als auch nicht authentifizierte DNN-Benutzer treffen kann. Die Auswirkung steigt, wenn die Skripte von einem Power-User ausgeführt werden. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.2.2.

DNN (vormals DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem. Vor den Versionen 9.13.10 und 10.2.0 konnte ein Modul mit Richtext im Beschreibungsfeld installiert werden, das Skripte enthalten kann, die für Nutzer in der Persona Bar ausgeführt werden. Die Versionen 9.13.10 und 10.2.0 enthalten einen Fix für dieses Problem. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: auf Version 9.13.10 oder 10.2.0 aktualisieren.

In DNN (ehemals DotNetNuke), Versionen ab 9.0.0 und vor 9.13.10 bzw. 10.2.0, können Erweiterungen Richtext in Log-Notizen schreiben, das Skripte enthalten kann. Diese werden bei der Anzeige in der PersonaBar ausgeführt. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 9.13.10 oder 10.2.0.

DNN (vormals DotNetNuke), eine quelloffene Content-Management-Plattform im Microsoft-Ökosystem, erlaubt ab Version 9.0.0 bis vor 9.13.10 bzw. 10.2.0, dass der freundliche Name eines Moduls Skripte enthält, die bei bestimmten Modul-Operationen in der Persona Bar ausgeführt werden. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 9.13.10 oder 10.2.0.

DNN (ehemals DotNetNuke), ein quelloffenes Web-Content-Management-System im Microsoft-Umfeld, erlaubt in den Versionen 6.0.0 bis vor 10.0.1 durch eine gezielt gestaltete Abfolge bösartiger Interaktionen die Preisgabe von NTLM-Hashes an einen fremden SMB-Server. Die Korrektur ist in Version 10.0.1 enthalten. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: auf DNN 10.0.1 oder neuer aktualisieren.

DNN (vormals DotNetNuke), eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem, erlaubt in den Versionen 7.0.0 bis vor 10.0.1 über eine speziell präparierte Anfrage oder einen Proxy die Umgehung der DNN-Login-IP-Filter, sodass Anmeldeversuche auch von nicht freigegebenen IP-Adressen möglich werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.0.1.