Drupal セキュリティチームによる報告：

CVE-2019-10909: PHPテンプレートエンジンの検証メッセージを回避します。

CVE-2019-10910: サービスIDのチェックが有効になります。

CVE-2019-10911: 「remember me」Cookieのハッシュにセパレーターを追加します。

jQuery 3.4.0には、jQuery.extend (true、{}、...) を使用するときの意図しない動作の修正が含まれています。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、標準のObject.prototypeを拡張できる可能性があります。この修正はjQuery 3.4.0に含まれていますが、以前のjQueryバージョンのパッチを適用するためのパッチ差分があります。

この脆弱性が一部のDrupalモジュールによって悪用される可能性があります。念のため、このDrupalセキュリティリリースでは、Drupalコア (Drupal 8の場合は3.2.1、Drupal 7の場合は1.4.4) に含まれているjQueryのバージョンに変更を加えたり、jQuery Updateなどの他のモジュールを介してサイトで実行したりせずに、jQuery.extend()の修正をバックポートしています。

検出

FreeBSD: drupal -- Drupalコア - 重要度中 (2bad8b5d-66fb-11e9-9815-78acc0a3b880)

critical Nessus プラグイン ID 124286

バージョン 1.2