2017年８月16日Drupal研究人員發(fā)布安全報告，宣稱已修復(fù)Drupal8多處漏洞并在線更新安全補丁。由于Drupal強大的定制開發(fā)能力，眾多有技術(shù)實力的網(wǎng)站建設(shè)公司優(yōu)先選用的網(wǎng)站開發(fā)平臺，存在一定的安全風(fēng)險。建議用戶及時排查并修復(fù)該風(fēng)險。中新網(wǎng)安將對該漏洞進(jìn)行持續(xù)關(guān)注，并第一時間為您更新相關(guān)漏洞信息。
中新網(wǎng)安安全研究院Drupal核心多處高危漏洞總結(jié)報告
【漏洞名稱】Drupal核心 - 多處高危漏洞 【風(fēng)險等級】高危 【影響版本】Drupal core 8.x版本和8.3.7之前的版本 【威脅描述】
當(dāng)創(chuàng)建視圖時，可以選擇使用Ajax通過過濾器參數(shù)更新數(shù)據(jù)。不過，視圖子模塊僅對配置為Ajax的視圖進(jìn)行訪問。如果用戶對視圖具有訪問限制，那么可以減輕系統(tǒng)損失，即使用戶正使用另一模塊顯示。
在Drupal8中存在另一繞過訪問權(quán)限的關(guān)鍵漏洞，當(dāng)使用REST API時，沒有正確權(quán)限的用戶可以通過即使用戶沒有發(fā)布已批準(zhǔn)的注釋的權(quán)限即可通過已批準(zhǔn)的REST發(fā)布注釋。目前，此漏洞已被評估為高危漏洞。
實體訪問系統(tǒng)中存在可能允許不必要的訪問來查看、創(chuàng)建、更新或刪除實體的漏洞。這僅影響不使用或不具有UUID的實體，以及對同一實體的不同修訂版具有不同訪問限制的實體。此漏洞已被評估為高危漏洞。 【應(yīng)對措施】
|
