自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 7.88より前の 7.x、9.2.13 より前の 9.2.x、および 9.3.6より前の 9.3.xです。そのため、以下の複数の脆弱性の影響を受けます。

 - 一部の状況で、Quick Edit モジュールがエンティティアクセスを適切にチェックしません。このため、アクセス先編集編集権限を持つユーザーが、アクセスが許可されていないコンテンツを表示する可能性があります。QuickEdit モジュール (Standard プロファイルに付属)がインストールされている場合のみ、サイトが影響を受けます。(CVE-2022-25270)

 - Drupal コアのフォーム API に脆弱性があり、特定のコントリビュートまたはカスタムモジュールのフォームが不適切な入力検証に対して脆弱である可能性があります。これにより、攻撃者が許可されていない値を注入したり、データを上書きしたりする可能性があります。(CVE-2022-25271)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 7.88より前の 7.x、9.2.13 より前の 9.2.x、および 9.3.6より前の 9.3.xです。したがって、複数の脆弱性の影響を受けます。

  - 一部の状況で、Quick Edit モジュールがエンティティアクセスを適切にチェックしません。このため、アクセス先編集編集権限を持つユーザーが、アクセスが許可されていないコンテンツを表示する可能性があります。QuickEdit モジュール (Standard プロファイルに付属) がインストールされている場合のみ、サイトが影響を受けます。このアドバイザリは、Drupal Stewardの対象ではありません。(CVE-2022-25270)

  - Drupal コアのフォーム API に脆弱性があり、特定のコントリビュートまたはカスタムモジュールのフォームが不適切な入力検証に対して脆弱である可能性があります。これにより、攻撃者が許可されていない値を注入したり、データを上書きしたりする可能性があります。影響を受けるフォームは一般的ではありませんが、特定の場合では、攻撃者が重要なデータや機密データを変更する可能性があります。提供されたモジュールの同じ脆弱性に対処するクイック編集-重要度中-アクセスバイパス-SA-CONTRIB-2022-025 も参照してください。このアドバイザリは、Drupal Stewardの対象ではありません。(CVE-2022-25271)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113146	Drupal 7.x < 7.88複数の脆弱性	Web App Scanning	Component Vulnerability	2022/2/18	2023/3/14	high
113145	Drupal 9.2.x < 9.2.13複数の脆弱性	Web App Scanning	Component Vulnerability	2022/2/18	2023/3/14	high
113144	Drupal 9.3.x < 9.3.6複数の脆弱性	Web App Scanning	Component Vulnerability	2022/2/18	2023/3/14	high
158095	Drupal 7.x< 7.88/9.2.x < 9.2.13/9.3.x < 9.3.6の複数の脆弱性 (drupal-2022-02-16)	Nessus	CGI abuses	2022/2/16	2022/11/8	high

検出

プラグインの検索

high

high

high

high