Drupal 8.9.x < 8.9.18 / 9.1.x < 9.1.12 / 9.2.x < 9.2.4 複数の脆弱性（SA-CORE-2021-005）

medium Nessus プラグイン ID 152533

Language:

概要

リモートのWebサーバーで実行されているPHPアプリケーションは、複数の脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは8.9.18より前の8.9.x、9.1.12より前の9.1.x、9.2.4より前の9.2.xです。したがって、WYSIWYG編集用のサードパーティコンポーネントであるCKEditorの使用による複数の脆弱性の影響を受けます。

- CKEditor 4 Fake Objectsパッケージに脆弱性が発見されました。この脆弱性により、無効な形式の偽造オブジェクトHTMLが注入され、JavaScriptコードが実行される可能性があります。（CVE-2021-37695）

- 元に戻す機能と併用した場合に、クリップボードウィジェットプラグインに脆弱性が発見されました。この脆弱性により、ユーザーは無効な形式のウィジェットHTMLを使用して元に戻す機能を悪用し、JavaScriptコードを実行する可能性があります。（CVE-2021-32808）

- CKEditor 4 Clipboardパッケージに脆弱性が発見されました。この脆弱性により、無効な形式のHTMLを使用して貼り付け機能を悪用し、任意のHTMLをエディターに注入する可能性があります。（CVE-2021-32809）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。