The remote host is running a version of Scrutinizer that is affected by a cross-site scripting vulnerability in the 'd4d/exporters.php' web console script.  The application does not properly sanitize the HTTP Referrer field or URL parameters. 

A remote attacker could exploit this by tricking a user into requesting a maliciously crafted URL.

The version of Scrutinizer running on the remote host is a version prior to 9.5.2, and is, therefore, potentially affected by the following vulnerabilities :

  - The 'd4d/exporters.php' and 'd4d/contextMenu.php' web     console scripts are affected by multiple cross-site     scripting vulnerabilities. (CVE-2012-3848)

  - An arbitrary file creation and file overwrite     vulnerability exists in the 'd4d/uploader.php' web     console script.  This allows attackers to create or     overwrite arbitrary files in     '%PROGRAMFILES%\Scrutinizer\snmp\mibs\' via an HTTP POST     request. (CVE-2012-2627) 

  - The 'cgi-bin/admin.cgi' web console script allows remote,     unauthenticated attackers to add administrative     accounts. (CVE-2012-2626)

Note that Tenable has confirmed the cross-site scripting vulnerabilities in 9.5.0 even though that version was originally reported to have addressed those.

リモートホストが、「d4d/exporters.php」Web コンソールスクリプトでクロスサイトスクリプティングの脆弱性の影響を受ける Scrutinizer のバージョンを実行しています。アプリケーションが HTTP リファラフィールドまたは　URL パラメーターを適切にサニタイズしません。

リモートの攻撃者がこれを悪用して、ユーザーを騙し、悪意を持って細工された URL をリクエストさせる可能性があります。

リモートホストで実行されている Scrutinizer のバージョンが 9.5.2 より前であるため、以下の脆弱性の影響を受ける可能性があります。

- 「d4d/exporters.php」および「d4d/contextMenu.php」Web コンソールスクリプトは、複数のクロスサイトスクリプティングの脆弱性の影響を受けます。（CVE-2012-3848）

- 任意のファイル作成およびファイル上書きの脆弱性が「d4d/uploader.php」Web コンソールスクリプトに存在します。これにより、攻撃者は HTTP POST リクエストを介して「%PROGRAMFILES%\Scrutinizer\snmp\mibs\」の中に任意のファイルを作成または上書きできます。（CVE-2012-2627）

- 「cgi-bin/admin.cgi」Web コンソールスクリプトにより、認証されていないリモートの攻撃者が管理者アカウントを追加する可能性があります。（CVE-2012-2626）

注意：バージョン 9.5.0 はもともとクロスサイトスクリプティングの脆弱性に対処したと報告されていましたが、Tenable では、この 9.5.0 のクロスサイトスクリプティングの脆弱性を確認しました。

遠端主機上執行的 Scrutinizer 版本比 9.5.2 舊，因此可能受到下列弱點影響：

- 'd4d/exporters.php' 和 'd4d/contextMenu.php' web 主控台指令碼受到多個跨網站指令碼弱點影響。(CVE-2012-3848)

- 'd4d/uploader.php' web 主控台指令碼中存在一個任意檔案建立及檔案覆寫弱點。這會允許攻擊者透過 HTTP POST 要求，在 '%PROGRAMFILES%\Scrutinizer\snmp\mibs\' 中建立或覆寫任意檔案。(CVE-2012-2627)

- 'cgi-bin/admin.cgi' web 主控台指令碼允許未經驗證的遠端攻擊者新增系統管理員帳戶。(CVE-2012-2626)

請注意，雖然原來報告 9.5.0 版已解決跨網站指令碼弱點，Tenable 仍確認該版本中存有這些弱點。

远程主机运行的 Scrutinizer 版本受到“d4d/exporters.php” Web 控制台脚本中跨站脚本漏洞的影响。此应用程序未正确审查 HTTP Referrer 字段或 URL 参数。

远程攻击者可通过欺骗用户请求恶意构建的 URL 来利用此漏洞。

远程主机上运行的 Scrutinizer 为低于 9.5.2 的版本，因此可能受到以下漏洞的影响：

- “d4d/exporters.php”和“d4d/contextMenu.php”Web 控制台脚本受到多种跨站脚本漏洞的影响。(CVE-2012-3848)

- “d4d/uploader.php”Web 控制台脚本中存在任意文件创建和文件覆盖漏洞。此漏洞允许攻击者通过 HTTP POST 请求在“%PROGRAMFILES%\Scrutinizer\snmp\mibs\”中创建或覆盖任意文件。(CVE-2012-2627)

- “cgi-bin/admin.cgi”Web 控制台脚本允许未经认证的远程攻击者添加管理帐户。(CVE-2012-2626)

请注意，即使最初报告称 9.5.0 已解决跨站脚本漏洞，Tenable 也已在该版本中确定这些问题。

遠端主機執行的 Scrutinizer 版本受到 'd4d/exporters.php' Web 主控台指令碼中的一個跨網站指令碼弱點影響。應用程式並未清理 HTTP 查閱者欄位或 URL 參數。

遠端攻擊者可誘騙使用者要求惡意製作的 URL 來利用此弱點。

ID	Name	Product	Family	Published	Updated	Severity
61649	Scrutinizer < 9.5.2 exporters.php XSS	Nessus	CGI abuses : XSS	8/23/2012	9/29/2025	medium
61648	Scrutinizer < 9.5.2 Multiple Vulnerabilities	Nessus	CGI abuses	8/23/2012	1/19/2021	high
61649	Scrutinizer < 9.5.2 exporters.php XSS	Nessus	CGI abuses : XSS	8/23/2012	9/29/2025	medium
61648	Scrutinizer < 9.5.2 複数の脆弱性	Nessus	CGI abuses	8/23/2012	1/19/2021	high
61648	Scrutinizer < 9.5.2 多個弱點	Nessus	CGI abuses	8/23/2012	1/19/2021	high
61649	Scrutinizer < 9.5.2 exporters.php XSS	Nessus	CGI abuses : XSS	8/23/2012	9/29/2025	medium
61648	Scrutinizer < 9.5.2 多种漏洞	Nessus	CGI abuses	8/23/2012	1/19/2021	high
61649	Scrutinizer < 9.5.2 exporters.php XSS	Nessus	CGI abuses : XSS	8/23/2012	9/29/2025	medium

Detections

Analytics

Plugins Search

medium

high

medium

high

high

medium

high

medium