Debian DLA-2458-1：drupal7 安全更新

high Nessus 插件 ID 143138

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Drupal（功能齐全的内容管理框架）中发现了两个漏洞。

CVE-2020-13666

Drupal AJAX API 默认未禁用 JSONP，可导致跨站脚本。

为了对依赖于 Drupal 的 AJAX API 进行 JSONP 请求的设置，需要重新启用 JSONP，否则必须使用 jQuery AJAX API。

请参阅上游公告，了解详细信息。
https://www.drupal.org/sa-core-2020-007

CVE-2020-13671

Drupal 无法审查已上传文件的文件名，可导致这些文件被用作错误的 MIME 类型或被执行，具体情况取决于服务器配置。

同时，建议检查之前上传的文件中是否存在恶意扩展。请参阅上游公告，了解详细信息： https://www.drupal.org/sa-core-2020-012

针对 Debian 9 stretch，这些问题已在 7.52-2+deb9u12 版本中修复。

我们建议您升级 drupal7 程序包。

如需了解 drupal7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/drupal7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。