Drupal 6.x < 6.29 多种漏洞

medium Nessus 插件 ID 71144

语言：

简介

远程 Web 服务器正在运行受到多种漏洞影响的 PHP 应用程序。

描述

远程 Web 服务器运行的 Drupal 版本是低于 6.29 的 6.x。因此，它可能受到多种漏洞的影响：

- 存在与第三方模块使用的 HTML 表单 API 和验证回调相关的错误，可允许攻击者绕过跨站请求伪造保护。(CVE-2013-6385)

- 用于生成伪随机数的函数 mt_rand() 中存在错误，可允许攻击者通过暴力破解获取种子。
(CVE-2013-6386)

- 在其中应用程序代码不能阻止执行上传的文件的 Apache Web 服务器上，可能上传任意 PHP 文件并导致它们执行。请注意，如果预期修复是升级，并且服务器是 Apache 服务器，则需要手动修复。(BID 63845)

- 函数 drupal_valid_token() 中存在错误，可允许该函数验证无效的标记，因而发生安全绕过。请注意，攻击者必须能够使非字符串值传递到该函数才可成功进行攻击。(BID 63849)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。