自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは、7.75より前の7.x、8.8.12より前の8.x、8.9.10より前の8.9.x、または9.0.9より前の9.0.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - 1.4.10までのArchive_Tarでは、phar: はブロックされますが、PHAR: はブロックされないため、非シリアル化攻撃が可能です。（CVE-2020-28948）

  - 1.4.10までのArchive_Tarでは、phar攻撃に対処するためだけに://ファイル名がサニタイズされるため、他のストリームラッパー攻撃（ファイルを上書きするfile://など）が依然として成功します。（CVE-2020-28949）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Drupal 7.x < 7.75 / 8.x < 8.8.12 / 8.9.x < 8.9.10 / 9.0.x < 9.0.9の複数の脆弱性（SA-CORE-2020-013）

high Nessus プラグイン ID 143274

変更ログが見つかりません