Drupal core接见权限节造失效缝隙安全公告

颁布功夫 2019-07-19

缝隙编号和级别


CVE编号：CVE-2019-6342，危险级别：严沉，CVSS分值：官方未评定


影响版本


受影响的版本


Drupal 8.7.4


缝隙概述


Drupal core是Drupal社区所守护的一套用PHP说话开发的免费、开源的内容治理系统。


在Drupal 8.7.4版本中，当处于尝试性的职能 Workspaces (工作区�？�) 开启的时辰，部门蹊径将不受到接见权限治理节造的限度，能够被肆意接见。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布新版本以建复缝隙，将Drupal更新到8.7.5版本：https://www.drupal.org/download ；


缓解措施：禁用 Workspaces �？�。


参考链接


https://www.drupal.org/sa-core-2019-008