本周，开源的内容管理系统 Drupal 修复了多个信息泄露和跨站点脚本 (XSS) 漏洞，其中包括一个“严重”级别的漏洞。其中最为严重的是XSS 漏洞 CVE-2020-13668，影响 Drupal 8 和 Drupal 9.值得注意的是 Drupal 使用 NIST 常见滥用评分系统判断安全风险级别，“严重”级别是第二高级别，紧随“高度严重”级别。该漏洞是一个反射型 XSS 漏洞，仅在一定情况下才能遭利用。Drupal 在描述该漏洞时指出，“攻击者能够利用 HTML 受影响的表单呈现 HTML 的方式来利用该漏洞。”该漏洞是由多名研究员独立报告的。另外一个 XSS 缺陷为“中等严重”程度，影响 Drupal 7、8和9，和默认未禁用 JSONP 的 AJAX API 相关。Drupal 本周修复的第二个中等严重的XSS 漏洞仅影响 Drupal 7 和 Drupal 8，它和内置到 Drupal 内核的 CKEditor 图像字幕功能有关。今年早些时候，Drupal 开发人员发布更新，解决了影响 CKEditor 库的几个 XSS 缺陷。网站开发人员和管理员也收到关于和试验性 Workspaces 模块相关的一个中等严重的访问绕过问题的通知。该漏洞可导致用户在网站上创建多个工作空间。该网站可在实时工作空间发布内容之间先进行编辑。Drupal 开发人员解释称，“切换工作空间时，Workspaces 模块无法充分检查访问权限，从而导致访问绕过漏洞的产生。攻击者可能能够在网站所有者希望人们在看到内容之前看到内容。”另外，Drupal还受 File 模块中一个中等严重漏洞的影响。攻击者可通过猜测私有文件ID的方式利用该漏洞访问该文件的元数据。Drupal 还为用户提供了更新安装以及其它注意事项。8.8.x 之前的Drupal 8 版本均已到达生命周期期限，将不会接收到任何安全更新。
https://www.securityweek.com/information-disclosure-xss-vulnerabilities-patched-drupal
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。
觉得不错，就点个 “在看” 吧~