The version of Drupal running on the remote web server is 7.x prior to 7.43. It is, therefore, affected by the following vulnerabilities :

  - A flaw exists in the File module that allows an attacker     to view, delete, or substitute a link to a file that has     not yet been submitted or processed by a form. An     authenticated, remote attacker can exploit this, via     continuous deletion of temporary files, to block all     file uploads to a site.

  - A flaw exists in the XML-RPC system due to a failure to     limit the number of simultaneous calls being made to the     same method. A remote attacker can exploit this to     facilitate brute-force attacks.

  - A cross-site redirection vulnerability exists due to     improper validation of unspecified input before     returning it to the user, which can allow the current     path to be filled-in with an external URL. A remote     attacker can exploit this, via a crafted link, to     redirect a user to a malicious web page of the     attacker's choosing that targets weaknesses in the     client-side software or is used for phishing attacks.

  - An unspecified reflected file download flaw exists that     allows an attacker to trick a user into downloading and     running a file with arbitrary JSON-encoded content.

  - A flaw exists, related to how the user_save() API is     utilized, due to assigning improper roles when saving     user accounts. An authenticated, remote attacker can     exploit this, via crafted data added to a form or array,     to gain elevated privileges.

  - An information disclosure vulnerability exists in the     'have you forgotten your password' due to displaying the     username when a valid email address is provided. A     remote attacker can exploit this to obtain the usernames     recognized by the system.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Web サーバーで実行されている Drupal のバージョンは、7.43 より前の 7.x です。したがって、次の脆弱性の影響を受けます：

- File モジュールに欠陥が存在し、攻撃者が、まだフォームにより提出または処理されていない、ファイルへのリンクを表示、削除、置き換えすることが可能です。認証されたリモートの攻撃者がこれを悪用して、一時ファイルの連続削除を通じて、サイトへの全ファイルアップロードをブロックする可能性があります。（VulnDB 135014）

- 同じメソッドに対して同時に行われるコール数の制限に失敗することにより、XML-RPC システムに欠陥が存在します。リモートの攻撃者がこれを悪用して、ブルートフォース攻撃を促進する可能性があります。（VulnDB 135015）

- 詳細不明な入力をユーザーに返す前に不適切な検証を行うことにより、クロスサイトリダイレクトの脆弱性が存在します。このため、現在のパスが外部 URL に指定される可能性があります。リモートの攻撃者がこれを悪用して、細工されたリンクを通じて、クライアント側のソフトウェアでの脆弱性を引き起こす、またはフィッシング攻撃に利用することを目的として攻撃者が選択した、悪意のある Web ページにユーザーをリダイレクトする可能性があります。
 （VulnDB 135016）

- 詳細不明な折り返し型ファイルダウンロードの欠陥が存在するため、攻撃者がユーザーを騙して、任意の JSON エンコードされたコンテンツを伴うファイルをダウンロードおよび実行させる可能性があります。
 （VulnDB 135020）

- ユーザーアカウントの保存時に不適切なロールを割り当てることにより、user_save() API の利用方法に関連する欠陥が存在します。認証されたリモートの攻撃者がこれを悪用して、フォームまたは配列に追加される細工されたデータを通じて、昇格された権限を取得する可能性があります。（VulnDB 135021）

- 有効な電子メールアドレスを入力した際にユーザー名が表示されるために、情報漏洩の脆弱性が「パスワードを忘れましたか」に存在します。リモートの攻撃者はこれを悪用して、システムにより認識されるユーザー名を取得する可能性があります。（VulnDB 135022）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

Multiple security vulnerabilities have been found in the Drupal content management framework. For additional information, please refer to the upstream advisory at

遠端 Web 伺服器上執行的 Drupal 版本為 7.43 之前的 7.x 版。因此受到以下弱點影響：

- 檔案模組中有一個瑕疵，其允許攻擊者檢視、刪除或取代尚未由表單提交或處理之檔案的連結。經驗證的遠端攻擊者可惡意利用此瑕疵，持續刪除暫存檔，進而禁止所有檔案上傳至網站。(VulnDB 135014)

- XML-RPC 系統中存在一個瑕疵，這是因為無法限制對相同方法進行之同時呼叫的數量所導致。遠端攻擊者可加以惡意利用來發動暴力密碼破解攻擊。(VulnDB 135015)

- 存在一個跨網站重新導向弱點，這是因為在將不明輸入傳回給使用者之前不當驗證所致，可允許以外部 URL 填入目前路徑。遠端攻擊者可惡意利用此弱點，透過特製連結，將使用者重新導向至攻擊者選擇以用戶端軟體中的弱點為目標或用於網路釣魚攻擊的惡意網頁。
 (VulnDB 135016)

- 存在一個不明反射檔案下載瑕疵，允許攻擊者誘騙使用者下載及執行含任意 JSON 編碼內容的檔案。
 (VulnDB 135020)

- 存在一個瑕疵，與 user_save() API 的利用方式有關，是因儲存使用者帳戶時指派不當角色所導致。經過驗證的遠端攻擊者可惡意利用此瑕疵，透過新增至表單或陣列的特製資料，取得提升的權限。(VulnDB 135021)

-「是否忘記密碼」中存在一個資訊洩漏弱點，此瑕疵是因提供有效的電子郵件地址時，顯示了使用者名稱所導致。遠端攻擊者可加以惡意利用，藉此取得系統辨識出的使用者名稱。(VulnDB 135022)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

在 Drupal 內容管理架構中發現多個安全性弱點。如需其他資訊，請參閱上游公告：

Drupal コンテンツ管理フレームワークで、複数のセキュリティの脆弱性が見つかりました。詳細については、Upstream アドバイザリを参照してください：

远程 Web 服务器上运行的 Drupal 版本为 7.43 之前的 7.x 版。因此，它受到以下漏洞的影响：

- 在 File 模块中存在一个缺陷，其允许攻击者查看、删除或替代尚未由表单提交或处理的文件的链接。经认证的远程攻击者可利用此缺陷，通过持续删除临时文件，阻断所有文件上传到网站。(VulnDB 135014)

- XML-RPC 系统中存在一个缺陷，这是因为无法限制对相同方法进行的同时调用的数量所导致。远程攻击者可加以利用来发动暴力破解攻击。(VulnDB 135015)

- 存在一个跨站重定向漏洞，这是因为在将不明输入返回给用户之前对其不当验证所致，可允许以外部 URL 填入目前路径。远程攻击者可利用此漏洞，通过特别构建的链接，将用户重定向至攻击者选择的恶意网页，该恶意网页以客户端软件中的漏洞为目标或用于网络钓鱼攻击。
 (VulnDB 135016)

- 存在一个不明反射型文件下载缺陷，允许攻击者诱骗用户下载及运行含任意 JSON 编码内容的文件。
 (VulnDB 135020)

- 存在一个缺陷，与 user_save() API 的利用方式有关，这是因保存用户帐户时指派不当角色所导致。经认证的远程攻击者可利用此缺陷，通过添加至窗体或数组的特别构建数据，获得升级的权限。(VulnDB 135021)

- 在“是否忘记密码”中存在一个信息泄露漏洞，这是因为提供有效的电子邮件地址时，显示了用户名所导致。远程攻击者可利用此漏洞，取得系统识别出的用户名。(VulnDB 135022)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

已在 Drupal 内容管理框架中发现多种安全漏洞。有关其他信息，请参阅上游公告：

ID	名前	製品	ファミリー	公開日	更新日	深刻度
89683	Drupal 7.x < 7.43 Multiple Vulnerabilities	Nessus	CGI abuses	2016/3/4	2022/4/11	medium
89683	Drupal 7.x < 7.43 複数の脆弱性	Nessus	CGI abuses	2016/3/4	2022/4/11	medium
89004	Debian DSA-3498-1 : drupal7 - security update	Nessus	Debian Local Security Checks	2016/2/29	2021/1/11	high
89683	Drupal 7.x < 7.43 多個弱點	Nessus	CGI abuses	2016/3/4	2022/4/11	medium
89004	Debian DSA-3498-1：drupal7 - 安全性更新	Nessus	Debian Local Security Checks	2016/2/29	2021/1/11	high
89004	Debian DSA-3498-1：drupal7 - セキュリティ更新	Nessus	Debian Local Security Checks	2016/2/29	2021/1/11	high
89683	Drupal 7.x < 7.43 多种漏洞	Nessus	CGI abuses	2016/3/4	2022/4/11	medium
89004	Debian DSA-3498-1：drupal7 - 安全更新	Nessus	Debian Local Security Checks	2016/2/29	2021/1/11	high

検出

プラグインの検索

medium

medium

high

medium

high

high

medium

high