Drupal 開発チームによる報告：アグリゲーターモジュールのクロスサイトリクエスト偽造の脆弱性 CVE：CVE-2012-0826

CSRF の脆弱性によって、アグリゲーターフィードを強制的に更新することができます。一部のサービスでは速度制限があるため（例えば、Twitter はリクエストを毎時間 150 に制限）、これがサービス拒否につながる可能性があります。

この問題は Drupal 6.x および 7.x に影響します。SREG および AX CVE で、OpenID が署名された属性を検証しない：CVE-2012-0825

セキュリティ研究者のグループが、一部の OpenID に依存している当事者が Attribute Exchange（AX）を実装する方法に欠陥を発見しました。AX を通じて渡される属性が署名されていることが検証されないため、攻撃者がユーザーの情報を変更できる可能性があります。

この問題は Drupal 6.x および 7.x に影響します。ファイルモジュールでのアクセスのバイパス CVE：CVE-2012-0827

特定のフィールドアクセスモジュールと共にプライベートなファイルを使用する場合、ファイルモジュールによって、アタッチ先のフィールドを表示できる権限がなくても、ユーザーがファイルをダウンロードできます。

この問題は Drupal 7.x にのみ影響します。

検出

FreeBSD：drupal -- 複数の脆弱性（10720fe8-51e0-11e1-91c1-00215c6a37bb）

medium Nessus プラグイン ID 57857

変更ログが見つかりません