Drupal 9.5.x < 9.5.11 / 10.x < 10.0.11 / 10.1.x < 10.1.4 Drupal 漏洞 (SA-CORE-2023-006)

high Nessus 插件 ID 181691

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到一个漏洞的影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 9.5.11 的 9.5.x，低于 10.0.11 的 10.x 或低于 10.1.4 的 10.1.x。因此，该远程主机受到漏洞的影响。

- 在某些场景下，Drupal 的 JSON：API 模块将输出错误回溯。对于某些配置，这可能会导致敏感信息被缓存并可供匿名用户使用，从而导致权限升级。此漏洞仅影响有 JSON 的站点：API 模块已启用，并且可以通过卸载 JSON: API 来缓解。核心 REST 及相关的 GraphQL 模块不受影响。Drupal Steward 合作伙伴已意识到这个问题。某些平台可能会提供缓解措施。但是，并非所有 WAF 配置都可以缓解该问题。因此，如果您的站点使用了 JSON: API，仍然建议立即更新到此安全版本。(SA-CORE-2023-006)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。