Drupal 10.6.x < 10.6.7複数の脆弱性

critical Web App Scanning プラグイン ID 115224

Language:

概要

説明

自己申告されたバージョン番号によると、検出されたDrupalアプリケーションは複数の脆弱性の影響を受けています。

- DrupalコアのjQuery統合によるAJAXモーダルダイアログボックスは、特定のオプションを十分にサニティ化できず、クロスサイトスクリプティング(XSS)脆弱性を引き起こす可能性があります。

- Drupalコアには、サイトに安全でないデシリアライズ脆弱性が存在する場合に悪用可能な一連の手法が含まれています。この「ガジェットチェーン」は、アプリケーションが別の脆弱性のために信頼できないデータをデシリアライズした場合にリモートコード実行やSQLインジェクションを実現するために使えます。

- Drupal 11.3 CKEditor 5へのリンクを追加する際のエンティティ提案の完了をサポートしています。これらの提案は十分に消毒されておらず、悪意のあるユーザーが他のユーザーに対して保存されたクロスサイトスクリプティング(XSS)攻撃を誘発する可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。