このウェブページのスcreenshotから、脆弱性に関する以下の主要な情報を取得できます。 脆弱性の概要 脆弱性の種類: 永続型クロスサイトスクリプティング（Persistent XSS）脆弱性。 影響を受ける製品: FortiManagerおよびFortiAnalyzerシリーズデバイス。 CVE番号: CVE-2016-3196。 CVSSスコア: 4.1。 影響範囲 影響を受けるFortiManagerモデル: - FortiManager 200D, 300D, 1000D, 3900E, 4000E, 仮想アプライアンス。 - FortiManager レガシーモデル: 100, 100C, 400A, 400B, 400C, 1000C, 3000C & 4000。 影響を受けるFortiAnalyzerモデル: - 200D, 300D, 1000D, 2000D, 3000E, 3500E, 3900E, VM Base & VM, GB1, GB5, GB25, GB100, GB500, GB2000。 脆弱性の詳細 脆弱性の位置: モジュールの パラメータ内。 攻撃経路: リモート攻撃者は、低権限のWebアプリケーションユーザーアカウントを使用してPOSTリクエストを送信し、悪意のあるスクリプトを注入できます。 影響: この脆弱性を成功적으로悪用すると、持続的なフィッシング、セッションハイジャック、悪意のあるソースへの外部リダイレクト、および影響を受けるアプリケーションモジュールまたは接続されたWebモジュールのコンテキスト内でのアプリケーション側の操作改ざんが生じる可能性があります。 脆弱性の悪用 PoC: ベンダーマニュアルに脆弱性を再現する手順が含まれています。これには、ログイン、特定モジュールへの移動、 パラメータ値の変更および送信などが含まれます。 悪用条件: リモート攻撃者は低権限のWebアプリケーションユーザーアカウントを持っており、低または中程度のユーザーインタラクションが必要です。 解決策とパッチ 更新バージョン: クライアントは脆弱性を修正するために更新バージョンをダウンロードできます。更新バージョンには 5.4.0、5.2.6 などがあります。 セキュリティリスク: ロゴアップロード機能の 値におけるアプリケーション側入力検証Web脆弱性のセキュリティリスクは、中程度と評価されています。