Drupal 8.2.x < 8.2.0-rc2 の複数の脆弱性

medium Web App Scanning プラグイン ID 98550

Language:

概要

説明

自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

- ノードを編集する権限を持つユーザーが、そのノードのコメントの可視性を設定できるプログラムによる欠陥が存在します。これにより、認証されたリモートの攻撃者が、適切な特権なしでノードのコメントの表示設定を調整する可能性があります。(CVE-2016-7570)

- 折り返し型クロスサイトスクリプティング (XSS) 攻撃を可能にする欠陥があります。HTTP 例外メッセージを処理する際、プログラムがユーザーに返す前に入力を検証しないためにこの欠陥が存在します。これにより、コンテキストによって異なる攻撃者が、特別に細工されたリクエストを作成して、自分のブラウザとサーバー間の信頼関係において、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。(CVE-2016-7571)

-「system.temporary」ルートに関連する欠陥が存在するため、認証されたリモートの攻撃者が、適切な権限なしに完全な構成のエクスポートをダウンロードする可能性があります。これにより、攻撃者が機密情報に権限なしでアクセスできる可能性があります。(CVE-2016-7572)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。