Drupal 8.9.x < 8.9.18 / 9.1.x < 9.1.12 / 9.2.x < 9.2.4 多个漏洞 (SA-CORE-2021-005)

medium Nessus 插件 ID 152533

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本,远程 Web 服务器上运行的 Drupal 实例为低于 8.9.18 的 8.9.x,低于 9.1.12 的 9.1.x 或低于 9.2.4 的 9.2.x。因此,该实例因使用第三方组件 CKEditor 进行 WYSIWYG 编辑而受到多个漏洞的影响:

- 在 CKEditor 4 Fake Objects 程序包中发现一个漏洞。该漏洞允许注入畸形 Fake Objects HTML,从而导致执行 JavaScript 代码。(CVE-2021-37695)

- 在剪贴板小组件插件中发现一个漏洞,前提是该插件与撤消功能一起使用。该漏洞允许用户使用畸形的小组件 HTML 滥用撤消功能,从而导致执行 JavaScript 代码。(CVE-2021-32808)

- 在 CKEditor 4 Clipboard 程序包中发现一个漏洞。该漏洞允许通过使用畸形 HTML 滥用粘贴功能,从而导致将任意 HTML 注入编辑器。(CVE-2021-32809)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

升级到 Drupal 8.9.18 / 9.1.12 / 9.2.4 或更高版本。

另见

https://www.drupal.org/sa-core-2021-005

http://www.nessus.org/u?03aa81e2

https://github.com/ckeditor/ckeditor4

https://www.drupal.org/project/drupal/releases/8.9.18

https://www.drupal.org/project/drupal/releases/9.1.12

https://www.drupal.org/project/drupal/releases/9.2.4

https://www.drupal.org/psa-2011-002

https://www.drupal.org/steward

插件详情

严重性: Medium

ID: 152533

文件名: drupal_9_2_4.nasl

版本: 1.9

类型: remote

系列: CGI abuses

发布时间: 2021/8/12

最近更新时间: 2022/4/11

配置: 启用偏执模式, 启用全面检查

支持的传感器: Nessus

风险信息

VPR

风险因素: Low

分数: 3.0

CVSS v2

风险因素: Low

基本分数: 3.5

时间分数: 2.6

矢量: CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N

CVSS 分数来源: CVE-2021-37695

CVSS v3

风险因素: Medium

基本分数: 5.4

时间分数: 4.7

矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:drupal:drupal

必需的 KB 项: Settings/ParanoidReport, installed_sw/Drupal

易利用性: No known exploits are available

补丁发布日期: 2021/8/12

漏洞发布日期: 2021/8/12

参考资料信息

CVE: CVE-2021-32808, CVE-2021-32809, CVE-2021-37695

IAVA: 2021-A-0384-S