自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは、7.73 より前の 7.0.x、8.8.10 より前の 8.8.x、8.9.6 より前の 8.9.x、または 9.0.6 より前の 9.0.x です。したがって、次の複数の脆弱性による影響を受けます。

 - デフォルトで JSONP を無効にしない Drupal AJAX API によるクロスサイトスクリプティング (XSS) (CVE-2020-13666)。

 -ワークスペースの切り替え時にアクセス権限を十分にチェックしないWorkspacesモジュールによるアクセスバイパス (CVE-2020-13667)。

 - クロスサイトスクリプティング (XSS) (CVE-2020-13668)。

 -DrupalコアのビルトインCKEditor画像キャプション機能におけるクロスサイトスクリプティング (XSS) (CVE-2020-13669)。

 - File モジュールの情報漏洩 (CVE-2020-13670)。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

-https://www.drupal.org/project/drupal/releases/8.9.11

-https://www.drupal.org/project/drupal/releases/8.9.10

    - https://www.drupal.org/sa-core-2020-013（CVE-2020-28948 / CVE-2020-28949）

-https://www.drupal.org/project/drupal/releases/8.9.9

    - https://www.drupal.org/sa-core-2020-012（CVE-2020-13671）

-https://www.drupal.org/project/drupal/releases/8.9.8

-https://www.drupal.org/project/drupal/releases/8.9.7

-https://www.drupal.org/project/drupal/releases/8.9.6

    - https://www.drupal.org/sa-core-2020-011（CVE-2020-13670）

    - https://www.drupal.org/sa-core-2020-010（CVE-2020-13669）

    - https://www.drupal.org/sa-core-2020-009（CVE-2020-13668）

    - https://www.drupal.org/sa-core-2020-008（CVE-2020-13667）

    - https://www.drupal.org/sa-core-2020-007（CVE-2020-13666）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

完全な機能を持つコンテンツ管理フレームワークである Drupal で、2 つの脆弱性が発見されました。

CVE-2020-13666

Drupal AJAX APIは、デフォルトでJSONPを無効にしませんでした。 これにより、クロスサイトスクリプティングが引き起こされる可能性があります。

JSONPリクエストに対してDrupalのAJAX APIに依存するセットアップでは、JSONPを再度有効にするか、jQuery AJAX APIを代わりに使用する必要があります。

詳細は、upstreamアドバイザリを参照してください。
https://www.drupal.org/sa-core-2020-007

CVE-2020-13671

Drupalがアップロードされたファイルのファイル名のサニタイズに失敗したため、これらのファイルが間違ったMIMEタイプとして提供されたり、サーバー構成によっては実行されたりする可能性があります。

以前にアップロードしたファイルに悪意のある拡張子があるかどうかをチェックすることも推奨されます。詳細は、upstreamアドバイザリを参照してください: https://www.drupal.org/sa-core-2020-012

Debian 9「Stretch」では、これらの問題はバージョン7.52-2+deb9u12で修正されています。

お使いのdrupal7パッケージをアップグレードすることを推奨します。

drupal7の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/drupal7

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは、7.73より前の7.x、8.8.10より前の8.8.x、8.9.6より前の8.9.x、または9.0.6より前の9.0.xです。そのため、ユーザー指定の入力をユーザーに返す前に正しく検証しないことによる、AJAX APIコンポーネントのクロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。認証されたリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112595	Drupal 8.9.x < 8.9.6複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/18	2023/3/14	high
112594	Drupal 9.0.x < 9.0.6複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/18	2023/3/14	high
112596	Drupal 8.8.x < 8.8.10複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/18	2023/3/14	high
112597	Drupal 7.x < 7.73複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/18	2023/3/14	high
144225	Fedora 33：drupal8（2020-6f1079934c）	Nessus	Fedora Local Security Checks	2020/12/15	2024/2/1	high
144247	Fedora 32：drupal8（2020-d50d74d6f2）	Nessus	Fedora Local Security Checks	2020/12/15	2024/2/1	high
143138	Debian DLA-2458-1: drupal7 セキュリティ更新	Nessus	Debian Local Security Checks	2020/11/20	2022/1/20	high
140766	Drupal 7.73より前の7.x / 8.8.10より前の8.8.x / 8.9.6より前の8.9.x / 9.0.6より前の9.0.xのXSS（drupal-2020-09-16）	Nessus	CGI abuses	2020/9/24	2022/4/11	medium

検出

プラグインの検索

high

high

high

high

high

high

high

medium