Drupal 7.73より前の7.x / 8.8.10より前の8.8.x / 8.9.6より前の8.9.x / 9.0.6より前の9.0.xのXSS（drupal-2020-09-16）

medium Nessus プラグイン ID 140766

Language:

概要

リモートWebサーバーで実行されているPHPアプリケーションは、クロスサイトスクリプティングの脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは、7.73より前の7.x、8.8.10より前の8.8.x、8.9.6より前の8.9.x、または9.0.6より前の9.0.xです。そのため、ユーザー指定の入力をユーザーに返す前に正しく検証しないことによる、AJAX APIコンポーネントのクロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。認証されたリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。