Найдены критические уязвимости в Drupal 7, 8.5 и 8.6

Обнаружены серьезные уязвимости в ядре Drupal линеек 7, 8.5 и 8.6, позволяющие выполнять код на стороне сервера. Одна из уязвимостей связана с функцией DefaultMailSystem::mail(), в которой отсутствует должное экранирование специальных символов. При отправке сообщений не осуществляется проверка некоторых переменных, в результате чего утилита sendmail передаеи произвольные данные, которые приводят к выполнению стороннего кода.

Другая уязвимость присутствует в Drupal 8 и связана с модулем Contextual Links. Посредсвтом передачи данных в контекстной ссылке злоумышленник также может добиться выполнения подставленного кода, однако для проведения такой атаки пользователю необходимы права на работу с контекстными ссылками.

Также во всех версиях найдена уязвимость, относящаяся к категории Moderately critical: ошибка при проверке доступа в системе модерирования контента, проброс на сторонний адрес в системе внутренних коротких ссылок и перенаправление на сторонний URL при выполнении определённых действий.

Команда разработки выпустила версии Drupal 7.60, 8.5.8 и 8.6.2 для трёх линеек, закрывающие найденные уязвимости. Рекомендуем незамедительно обновиться.

Оригинальная статья:
timeweb

Заработок в сети

  • Sape - биржа ссылок