Hola Mrbook, gracias por compartir el informe con nosotros.
Lo he revisado detenidamente la sección "SQL injection" ya que las demás son meramente informativas y realmente no veo ningún problema de seguridad.
Parece que Alfresco no hace un chequeo de las inserciones en un formulario en el propio script (o al menos no en ese), pero eso no significa que se produzca un SQL injection ya que puede hacer filtros del contenido que se introduce en un formulario a otros niveles. ¿Has comprobado que se cambia algún registro en la base de datos según las SQL injection que se lanzan? o ¿simplemente obtenemos el error 500?
Que responda un "HTTP/1.1 500 Internal Server Error" puede ser más o menos normal, dependería de la configuración del servidor de aplicaciones o servidor web. Sería interesante ver que error obtienes en el log de Alfresco en cada caso.
Desde mi punto de vista, estos scanners remotos son excesivamente desatendidos y generan información basada en plantillas que puede provocar confusiones. Con esto no quiero decir que no exista algún fallo, pero en este caso no llevo a verlo, igual me equivoco, a ver si los demás ven algo.
Saludos.
