自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 8.9.19より前の 8.9.x、9.1.13 より前の 9.1.x、および 9.2.6より前の 9.2.xです。したがって、複数の脆弱性の影響を受けます。

 - 一部の状況で、DrupalコアJSON：APIモジュールが特定のコンテンツへのアクセスを適切に制限しないため、意図しないアクセスバイパスが発生する可能性があります。有効なJSON：有効な API モジュールは影響を受けません。(CVE-2020-13677)

 - QuickEditモジュールが一部の状況でフィールドへのアクセスを適切にチェックしないため、フィールドデータが意図せず漏洩する可能性があります。QuickEdit モジュール (Standard プロファイルに付属)がインストールされている場合のみ、サイトが影響を受けます。(CVE-2020-13676)

 - DrupalのJSON：APIおよびREST/Fileモジュールにより、HTTP APIを通じてファイルをアップロードできます。モジュールがすべてのファイル検証を正しく実行しないため、アクセスバイパスの脆弱性が発生します。攻撃者が、サイトのモジュールによって実装されたファイル検証プロセスをバイパスするファイルをアップロードできる可能性があります。この脆弱性は、次の3つの要素によって緩和されます：JSON：APIまたはRESTファイルアップロードモジュールをサイト上で有効にする必要があります。攻撃者は、JSON：APIまたはRESTを介してファイルアップロードにアクセスできる必要があります。サイトでは、ファイル検証モジュールを使用する必要があります。(CVE-2020-13675)

 - QuickEditモジュールがルートへのアクセスを適切に検証しないため、一部の状況でクロスサイトリクエスト偽造が可能になり、データの整合性の問題が発生する可能性があります。QuickEditモジュール (Standardプロファイルに付属)がインストールされている場合のみ、サイトが影響を受けます。信頼できないユーザーからのインプレース編集権限を削除しても、この脆弱性は完全には緩和されません。(CVE-2020-13674)

 - DrupalコアMediaモジュールは、コンテンツフィールドに内部および外部メディアを埋め込むことを可能にするフィルターを提供します。特定の状況で、メディアを埋め込む権限のある信頼できるユーザーがアクセスする場合、このフィルターは権限のないユーザーがページにHTMLを挿入する可能性があります。場合によっては、これにより、クロスサイトスクリプティングにつながる可能性があります。(CVE-2020-13673)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 8.9.19より前の 8.9.x、9.1.13 より前の 9.1.x、および 9.2.6より前の 9.2.xです。したがって、複数の脆弱性の影響を受けます。

  - 一部の状況で、DrupalコアJSON：APIモジュールが特定のコンテンツへのアクセスを適切に制限しないため、意図しないアクセスバイパスが発生する可能性があります。有効なJSON：APIモジュールがないサイトは影響を受けません。このアドバイザリは、Drupal Stewardの対象ではありません。（CVE-2020-13677）

  - QuickEditモジュールが一部の状況でフィールドへのアクセスを適切にチェックしないため、フィールドデータが意図せず漏洩する可能性があります。QuickEditモジュール（Standardプロファイルに付属）がインストールされている場合のみ、サイトが影響を受けます。このアドバイザリは、Drupal Stewardの対象ではありません。（CVE-2020-13676）

  - DrupalのJSON：APIおよびREST/Fileモジュールにより、HTTP APIを通じてファイルをアップロードできます。モジュールがすべてのファイル検証を正しく実行しないため、アクセスバイパスの脆弱性が発生します。攻撃者が、サイトのモジュールによって実装されたファイル検証プロセスをバイパスするファイルをアップロードできる可能性があります。この脆弱性は、次の3つの要素によって緩和されます：JSON：APIまたはRESTファイルアップロードモジュールをサイト上で有効にする必要があります。攻撃者は、JSON：APIまたはRESTを介してファイルアップロードにアクセスできる必要があります。サイトでは、ファイル検証モジュールを使用する必要があります。このアドバイザリは、Drupal Stewardの対象ではありません。GraphQLも参照 - 重要度中
    - アクセスバイパス - そのモジュールの類似の脆弱性に対処するSA-CONTRIB-2021-029。
    (CVE-2020-13675)

  - QuickEditモジュールがルートへのアクセスを適切に検証しないため、一部の状況でクロスサイトリクエスト偽造が可能になり、データの整合性の問題が発生する可能性があります。QuickEditモジュール（Standardプロファイルに付属）がインストールされている場合のみ、サイトが影響を受けます。信頼できないユーザーからのインプレース編集権限を削除しても、この脆弱性は完全には緩和されません。このアドバイザリは、Drupal Stewardの対象ではありません。（CVE-2020-13674）

  - DrupalコアMediaモジュールは、コンテンツフィールドに内部および外部メディアを埋め込むことを可能にするフィルターを提供します。特定の状況で、メディアを埋め込む権限のある信頼できるユーザーがアクセスする場合、このフィルターは権限のないユーザーがページにHTMLを挿入する可能性があります。場合によっては、これにより、クロスサイトスクリプティングにつながる可能性があります。このアドバイザリは、Drupal Stewardの対象ではありません。エンティティ埋め込みも参照 - 重要度中 - クロスサイトリクエスト偽造 - そのモジュールの類似の脆弱性に対処するSA-CONTRIB-2021-028。（CVE-2020-13673）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112976	Drupal 9.1.x < 9.1.13複数の脆弱性	Web App Scanning	Component Vulnerability	2021/9/16	2023/3/14	critical
112975	Drupal 9.2.x < 9.2.6複数の脆弱性	Web App Scanning	Component Vulnerability	2021/9/16	2023/3/14	critical
112977	Drupal 8.9.x < 8.9.19複数の脆弱性	Web App Scanning	Component Vulnerability	2021/9/16	2023/3/14	critical
153402	Drupal 8.9.x< 8.9.19/9.1.x < 9.1.13/9.2.x < 9.2.6の複数の脆弱性 (drupal-2021-09-15)	Nessus	CGI abuses	2021/9/15	2022/4/11	critical

検出

プラグインの検索

critical

critical

critical

critical