Drupal 9.5.x < 9.5.11 / 10.x < 10.0.11 / 10.1.x < 10.1.4 Drupal の脆弱性 (SA-CORE-2023-006)

high Nessus プラグイン ID 181691

Language:

概要

リモートの Web サーバーで実行されている PHP アプリケーションは、脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.5.11 より前の 9.5.x、10.0.11 より前の 10.x、10.1.4 より前の 10.1.x です。したがって、脆弱性の影響を受けます。

- 特定のシナリオでは、Drupal の JSON: API モジュールがエラーバックトレースを出力します。一部の設定では、これにより機密情報がキャッシュされ、匿名ユーザーが利用可能になり、権限昇格を引き起こす可能性があります。この脆弱性は、JSON: API モジュールが有効になっているサイトにのみ影響し、JSON: API をアンインストールすることで軽減できます。コア REST および提供された GraphQL モジュールは影響を受けません。Drupal Steward パートナーはこの問題を認識しています。一部のプラットフォームでは軽減策が提供される場合があります。ただし、すべての WAF 設定でこの問題を緩和できるわけではないため、サイトで JSON: API を使用する場合は、このセキュリティリリースに速やかに更新することをお勧めします。(SA-CORE-2023-006)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。