Drupal Sanitization XSS 缝隙

颁布功夫 2021-04-22

0x00 缝隙概述

CVE  ID


时   间

2021-04-22

类   型

XSS

等   级

高危

远程利用

是

影响领域


PoC/EXP

未公开

在野利用

否

 

0x01 缝隙详情

image.png

Drupal是PHP编写的开源内容治理框架（CMF），它由内容治理系统（CMS）和PHP开发框架（Framework）共同组成，目前已经成为世界上最受迎接的CMS之一。

2021年04月21日，Drupal颁布安全布告，建复了Drupal中的一个XSS缝隙。该缝隙是由于Drupal Core的sanitization API在某些情况下无法正确过滤跨站剧本，攻击者能够通过利用XSS缝隙插入恶意代码、盗取用户信息或进行其它操作。

 

影响领域

Drupal < 9.1.7

Drupal < 9.0.12

Drupal < 8.9.14

Drupal < 7.80

 

0x02 措置建议

目前Drupal团队已经建复了此缝隙，建议实时更新至以下版本：

Drupal 9.1.7

Drupal 9.0.12

Drupal 8.9.14

Drupal 7.80


下载链接：

https://www.drupal.org/project/drupal/releases/9.1.7

https://www.drupal.org/project/drupal/releases/9.0.12

https://www.drupal.org/project/drupal/releases/8.9.14

https://www.drupal.org/project/drupal/releases/7.80


注：8.9.x之前的Drupal 8官方已终场支持。此表，安全人员还针对已终场支持的Drupal 6在Github上颁布了合用于SA-CORE-2021-002的Drupal 6主题安全更新。

 

0x03 参考链接

https://www.drupal.org/sa-core-2021-002

https://www.mydropwizard.com/blog/drupal-6-core-security-update-sa-core-2021-002

https://github.com/d6lts/drupal/releases/tag/6.57

 

0x04 功夫线

2021-04-21  Drupal颁布安全公告

2021-04-22  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png