:::
| 風險等級： | 高度威脅 | |
| 摘 要： |
Drupal 發布了一個針對 Drupal 7.X、8.x 中的弱點的安全更新。遠端攻擊者可以利用此弱點來控制受影響的系統。 目前已知會受到影響的版本為 7.60 之前的7.x 版本、8.5.8 之前的8.5.x 版本、8.6.2 之前的8.6.x 版本。 |
|
| 影響系統： |
|
|
| 解決辦法： |
請參考 Drupal 官網下載更新至最新版本 |
|
| 細節描述： |
Drupal 發布了一個針對 Drupal 7.X、8.x 中弱點的安全更新。遠端攻擊者可以利用此弱點來控制受影響的系統。 1.Drupal 核心模組經常在 URL 中使用"目標"查詢字串參數，以在完成當前頁面上的操作後將用戶重定向到新目標。 在某些情況下，惡意用戶可以使用此參數構建一個 URL，誘騙用戶重新定向到第三方網站，從而使用戶暴露於潛在的社交工程攻擊。 2.發送電子郵件時，一些程序沒有針對 shell 參數進行清理，這可能導致遠端程式碼執行。 3.由於 Drupal 的 Contextual Links 模組無法充分驗證用戶發出的請求，所以可能會導致遠端程式碼執行。但是此弱點利用的前提必須擁有 Contextual Links 的訪問權限，所以可以減輕此弱點的風險。 |
|
| 參考資訊： |
網友個人意見，不代表本站立場，對於發言內容，由發表者自負責任。
