自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

 - Drupal は、状況や設定によっては、JavaScript を使用してステータスメッセージをレンダリングします。特定の状況で、ステータスメッセージが適切にサニタイズされません。

 - Drupal コアには、潜在的な PHP オブジェクトインジェクションの脆弱性が含まれており、(他のエクスプロイトと組み合わせた場合) リモートコードの実行を引き起こす可能性があります。この問題は、直接悪用されません。

 - Drupal コアには、潜在的な PHP オブジェクトインジェクションの脆弱性が含まれており、(他のエクスプロイトと組み合わせた場合) 任意のファイル削除を引き起こす可能性があります。この問題は、直接悪用されません。

 - Drupal 7 コアの Overlay モジュールは、ユーザー入力を安全に処理せず、特定の状況で折り返し型クロスサイトスクリプティングを引き起こします。この脆弱性により、Overlay モジュールを有効にしているサイトのみが影響を受けます。

 - 特定のユーザーフィールドに対する Drupal の一意性チェックは、データベースエンジンとその照合順序によっては一貫性がありません。その結果、ユーザーが別のユーザーと同じメールアドレスを使用して登録できる可能性があります。これにより、データ整合性の問題が発生する可能性があります。

 - Drupal は、状況や設定によっては、JavaScript を使用してステータスメッセージをレンダリングします。特定の状況で、ステータスメッセージが適切にサニタイズされません。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは、7.102 より前の 7.x、10.2.11 より前の 10.2.x、10.3.9 より前の 10.3.x、または 11.0.8 より前の 11.x です。したがって、複数の脆弱性の影響を受けます。

  - Drupal Coreにおける信頼できないデータの逆シリアル化の脆弱性により、オブジェクトインジェクションが可能です。この問題は、7.102 より前の 7.0 以降、10.2.11 より前の 8.0.0 以降、10.3.9 より前の 10.3.0 以降の Drupal Core に影響します。(CVE-2024-55638)

  - Drupal Core における信頼できないデータの逆シリアル化の脆弱性により、オブジェクトインジェクションが可能です。この問題は、10.2.11 より前の 8.0.0 以降、10.3.9 より前の 10.3.0 以降、11.0.8 より前の 11.0.0 以降の Drupal Core に影響します。
    (CVE-2024-55636、CVE-2024-55637)

  - Drupal Core のウェブページ生成中の不適切な入力中和 (XSS または「クロスサイトスクリプティング」) の脆弱性により、クロスサイトスクリプティング (XSS) が可能です。この問題は、7.102 より前の 7.0 以降の Drupal Core に影響します。
    (CVE-2024-55635)

  - Drupal Core の脆弱性により、権限昇格が可能です。この問題は、10.2.11 より前の 8.0.0 以降、10.3.9 より前の 10.3.0 以降、11.0.8 より前の 11.0.0 以降の Drupal Core に影響します。(CVE-2024-55634)

  - Drupal Core のウェブページ生成中の不適切な入力中和 (XSS または「クロスサイトスクリプティング」) の脆弱性により、クロスサイトスクリプティング (XSS) が可能です。この問題は、10.2.11 より前の 8.8.0 以降、10.3.9 より前の 10.3.0 以降、11.0.8 より前の 11.0.0 以降の Drupal Core に影響します。(CVE-2024-12393)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Drupal Core における信頼できないデータの逆シリアル化の脆弱性により、オブジェクトインジェクションが可能です。この問題は、10.2.11 より前の 8.0.0 以降、10.3.9 より前の 10.3.0 以降、11.0.8 より前の 11.0.0 以降の Drupal Core に影響します。Drupalコアには、安全でない逆シリアル化の脆弱性がサイトにあるときに悪用される可能性のある一連のメソッドが含まれています。このガジェットチェーンと呼ばれるものは直接の脅威はありませんが、アプリケーションが他の脆弱性によって信頼できないデータを逆シリアル化した場合に、リモートでコードが実行される可能性のあるベクトルです。
    (CVE-2024-55637)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114520	Drupal 10.3.x < 10.3.9複数の脆弱性	Web App Scanning	Component Vulnerability	2024/11/26	2024/11/26	high
114521	Drupal 10.2.x < 10.2.11複数の脆弱性	Web App Scanning	Component Vulnerability	2024/11/26	2024/11/26	high
114519	Drupal 11.0.x < 11.0.8複数の脆弱性	Web App Scanning	Component Vulnerability	2024/11/26	2024/11/26	high
114522	Drupal 7.x < 7.102複数の脆弱性	Web App Scanning	Component Vulnerability	2024/11/26	2024/11/26	high
211656	Drupal 7.x < 7.102/10.2.x < 10.2.11/10.3.x < 10.3.9/11.x < 11.0.8 複数の脆弱性 (drupal-2024-11-20)	Nessus	CGI abuses	2024/11/20	2025/2/28	critical
247796	Linux Distros のパッチ未適用の脆弱性: CVE-2024-55637	Nessus	Misc.	2025/8/10	2025/8/10	critical

検出

プラグインの検索

high

high

high

high

critical

critical