自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 8.9.18より前の 8.9.x、9.1.12 より前の 9.1.x、および 9.2.4より前の 9.2.xです。したがって、WYSIWYG 編集用のサードパーティコンポーネントである CKEditor の使用による複数の脆弱性の影響を受けます。

 - CKEditor 4 Fake Objectsパッケージに脆弱性が発見されました。この脆弱性により、無効な形式の偽造オブジェクトHTMLが注入され、JavaScriptコードが実行される可能性があります。 (CVE-2021-37695)

 - 元に戻す機能と併用した場合に、クリップボードウィジェットプラグインに脆弱性が発見されました。この脆弱性により、ユーザーは無効な形式のウィジェットHTMLを使用して元に戻す機能を悪用し、JavaScriptコードを実行する可能性があります。 (CVE-2021-32808)

 - CKEditor 4 Clipboardパッケージに脆弱性が発見されました。この脆弱性により、無効な形式のHTMLを使用して貼り付け機能を悪用し、任意のHTMLをエディターに注入する可能性があります。  (CVE-2021-32809)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 21.10 LTS ホストには、USN-5340-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 8.5.2 より前の 8.4.7 および 8.5.x の Drupal 8 や他の製品で使用されている CKEditor 用の拡張イメージ (別名 image2) プラグインのクロスサイトスクリプティング (XSS) の脆弱性 (バージョン 4.5.10 から 4.9.1。4.9.2 で修正済み) により、リモートの攻撃者が、細工された IMG 要素を使用して任意の Web スクリプトを挿入する可能性があります。
    (CVE-2018-9861)

  - CKEditor 4.14 以前の 4.0 の HTML Data Processor のクロスサイトスクリプティング (XSS ) の脆弱性により、リモートの攻撃者が、細工された保護されたコメント (cke_protected 構文を使用 ) を使用して任意の Web スクリプトを挿入する可能性があります。(CVE-2020-9281)

  - ckeditor は、リッチコンテンツをサポートするオープンソースの WYSIWYG HTML エディターです。元に戻す機能と併用した場合に、クリップボードウィジェットプラグインに脆弱性が発見されました。この脆弱性により、ユーザーは無効な形式のウィジェット HTML を使用して元に戻す機能を悪用し、JavaScript コードを実行する可能性があります。これは、バージョン >= 4.13.0 の上記の CKEditor 4 プラグインを使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.16.2 で利用可能です。(CVE-2021-32808)

  - ckeditor は、リッチコンテンツをサポートするオープンソースの WYSIWYG HTML エディターです。CKEditor 4 [クリップボード] (https://ckeditor.com/cke4/addon/clipboard) パッケージに脆弱性が発見されました。この脆弱性により、無効な形式の HTML を使用して貼り付け機能を悪用し、任意の HTML をエディターに注入する可能性があります。これは、バージョン >= 4.5.2 の上記の CKEditor 4 プラグインを使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.16.2 で利用可能です。
    (CVE-2021-32809)

  - NTFS-3G 2021.8.22 より前のバージョンでは、特別に細工された MFT セクションが NTFS 画像で提供されると、ヒープバッファオーバーフローが発生し、コードが実行される可能性があります。(CVE-2021-33289)

  - ckeditor は、リッチコンテンツをサポートするオープンソースの WYSIWYG HTML エディターです。CKEditor 4 [Fake Objects] (https://ckeditor.com/cke4/addon/fakeobjects) パッケージに脆弱性が発見されました。この脆弱性により、無効な形式の偽造オブジェクト HTML が注入され、JavaScript コードが実行される可能性があります。これは、バージョン < 4.16.2 の上記の CKEditor 4 プラグインを使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.16.2 で利用可能です。(CVE-2021-37695)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは8.9.18より前の8.9.x、9.1.12より前の9.1.x、9.2.4より前の9.2.xです。したがって、WYSIWYG編集用のサードパーティコンポーネントであるCKEditorの使用による複数の脆弱性の影響を受けます。

  - CKEditor 4 Fake Objectsパッケージに脆弱性が発見されました。この脆弱性により、無効な形式の偽造オブジェクトHTMLが注入され、JavaScriptコードが実行される可能性があります。（CVE-2021-37695）

  - 元に戻す機能と併用した場合に、クリップボードウィジェットプラグインに脆弱性が発見されました。この脆弱性により、ユーザーは無効な形式のウィジェットHTMLを使用して元に戻す機能を悪用し、JavaScriptコードを実行する可能性があります。（CVE-2021-32808）

  - CKEditor 4 Clipboardパッケージに脆弱性が発見されました。この脆弱性により、無効な形式のHTMLを使用して貼り付け機能を悪用し、任意のHTMLをエディターに注入する可能性があります。 （CVE-2021-32809）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112947	Drupal 8.9.x < 8.9.18 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
112945	Drupal 9.2.x < 9.2.4 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
112946	Drupal 9.1.x < 9.1.12 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
159137	Ubuntu 18.04 LTS / 20.04 LTS : CKEditor の脆弱性 (USN-5340-1)	Nessus	Ubuntu Local Security Checks	2022/3/22	2023/10/16	medium
152533	Drupal 8.9.x < 8.9.18 / 9.1.x < 9.1.12 / 9.2.x < 9.2.4 複数の脆弱性（SA-CORE-2021-005）	Nessus	CGI abuses	2021/8/12	2022/4/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium