Drupal焦点组件多个误差清静通告

宣布时间 2019-04-19

误差编号和级别


CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定

CVE编号：CVE-2019-10909 ，危险级别：高危 ，CVSS分值：官方未评定

CVE编号：CVE-2019-10910 ，危险级别：高危 ，CVSS分值：官方未评定

CVE编号：CVE-2019-10911 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


受影响的版本

Drupal 8.5或更早版本 ，Drupal 8.6 ，Drupal 7

受影响的组件

jQuery < 3.4.0

Symfony 2.7.0 to 2.7.50, 2.8.0 to 2.8.49, 3.4.0 to 3.4.25, 4.1.0 to 4.1.11 and 4.2.0 to 4.2.6


误差概述


Drupal是Drupal社区的一套使用PHP语言开发的开源内容管理系统。Drupal宣布了清静更新 ，以解决Drupal Core中的多个安全误差 ，这些误差可能允许远程攻击者破损数十万个网站的清静性。


其中一个清静误差是一个跨站点剧本（XSS）误差 ，它保存于第三方插件中 ，称为JQuery ，这是数百万网站使用的最盛行的JavaScript库 ，也预先集成在Drupal Core中。该误差尚未分派CVE编号。


其余三个清静误差保存于Drupal Core使用的Symfony PHP组件中：

CVE-2019-10909

使用PHP模板引擎的表单主题时 ，验证新闻未被转义 ，当验证新闻可能包括用户输入时 ，可能会导致XSS。


CVE-2019-10910

从未过滤的用户输入派生的服务ID可能导致执行任何恣意代码 ，从而导致可能的远程代码执行。


CVE-2019-10911

攻击者可以修改记着我的cookie并作为差别的用户举行身份验证。


误差验证


暂无POC/EXP。


修复建议


现在已有新版本如下 ，请用户实时更新。

Drupal 8.6.15

https://www.drupal.org/project/drupal/releases/8.6.15

Drupal 8.5.15

https://www.drupal.org/project/drupal/releases/8.5.15

Drupal 7.66

https://www.drupal.org/project/drupal/releases/7.66

Symfony 2.7.51, 2.8.50, 3.4.26, 4.1.12 and 4.2.7

https://github.com/symfony/symfony/commit/ab4d05358c3d0dd1a36fc8c306829f68e3dd84e2

jQuery 3.4.0

https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/


参考链接


https://www.drupal.org/security