根据其自我报告的版本号，检测到的 Drupal 应用程序受到多个漏洞的影响：

 - 第三方 Symfony PHP 框架中存在多个缺陷。

 - 第三方 jQuery JavaScript 库中存在一个缺陷。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.66 的 7.x，低于 8.5.15 的 8.5.x 或低于 8.6.15 的 8.6.x。因而会受到多个漏洞的影响。- jQuery 项目已发布 3.4.0 版本，并公开会影响所有旧版产品的安全漏洞。如其版本信息所述：jQuery 3.4.0 包含针对使用 jQuery.extend(true, {}, ...) 时的部份意外行为进行的修复。若未清理的来源对象包含可枚举的 __proto__ property，则可扩大本机 Object.prototype。此修复包含在 jQuery 3.4.0 内，但存在修补程序 diffs，可修补旧版的 jQuery。某些 Drupal 模块的此漏洞可能会遭到恶意利用。预防起见，此 Drupal 安全性版本会反向移植 jQuery.extend() 的修复，而不对 Drupal 内核（Drupal 8 为 3.2.1，Drupal 7 为 1.4.4）内含的 jQuery 版本，或通过其他模块（如 jQuery Update）在站点上运行的 jQuery 版本做任何其他变更。(SA-CORE-2019-006) - 此安全性版本可修复 Drupal 内核内含或要求的第三方依赖项。CVE-2019-10909：避开 PHP 模板引擎中的验证消息。依据公告：使用 PHP 模板引擎的窗体主题时，并未规避验证消息，验证消息可能含有用户输入时会导致 XSS。CVE-2019-10910：检查服务 ID 是否有效。依据公告：来源于未经筛选用户输入的服务 ID 可能导致执行任意代码，从而可能造成远程代码执行。CVE-2019-10911：在 remember me cookie 哈希中新增一个分隔符。依据公告：如此可修复下列问题：cookie 中的部分到期时间被认定为部分用户名，或是部分用户名称被认定为部分到期时间。攻击者可修改 remember me cookie 并验证为另一名用户。仅当 remember me 功能已启用，且有两名用户共享一个密码哈希，或密码哈希（如 UserInterface::getPassword()）对所有用户均为 null（若以外部系统（如 SSO）检查密码时有效）时，才能发动此攻击。(CVE-2019-10909, CVE-2019-10910, CVE-2019-10911) 请注意，Nessus 并未针对这一问题进行测试，而仅依赖应用程序自我报告的版本号。

在 Symfony PHP 架构中发现多个漏洞，这些漏洞可导致缓存绕过、验证绕过、信息泄漏、开放重定向、跨站请求伪造、任意文件删除，或任意代码执行。

在 PHP Web 应用程序框架 symfony 中，已发现多个安全漏洞。多个 symfony 组件受到影响：框架捆绑包、依赖注入、安全、HttpFoundation CVE-2019-10909 使用 PHP 模板引擎的窗体主题时，并未规避验证消息，验证消息可能含有用户输入时会导致 XSS。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in- the-php-templating-engine CVE-2019-10910 来源于未经筛选用户输入的服务 ID 可能导致任何代码执行，进而可能造成远程代码执行。如需进一步信息，请参阅 https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-valid CVE-2019-10911 中的上游公告 如此可修复下列问题：cookie 中的部分到期时间被认定为部分用户名，或是部分用户名称被认定为部分到期时间。攻击者可修改 remember me cookie 并验证为另一名用户。仅当 remember me 功能已启用，且有两名用户共享一个密码哈希，或密码哈希（如 UserInterface::getPassword()）对所有用户均为 null（若以外部系统（如 SSO）检查密码时有效）时，才能发动此攻击。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remembe r-me-cookie-hash CVE-2019-10913 来自 HTTP 方法本身或使用 X-Http-Method-Override 标头的 HTTP 方法之前会转变回为上述方法，而不需要对字符串进行验证，即在未逃逸时，这些方法可用于危险环境。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-ove rrides 针对 Debian 8“Jessie”，这些问题已在 2.3.21+dfsg-4+deb8u5 版本中修复。我们建议您升级 symfony 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
98546	Drupal 7.x < 7.66 多个漏洞	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98545	Drupal 8.x < 8.5.15 多个漏洞	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98544	Drupal 8.6.x < 8.6.15 多个漏洞	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
124176	Drupal 7.x < 7.66 / 8.5.x < 8.5.15 / 8.6.x < 8.6.15 多个漏洞 (drupal-2019-04-17)	Nessus	CGI abuses	2019/4/19	2022/4/11	critical
124779	Debian DSA-4441-1：symfony - 安全更新	Nessus	Debian Local Security Checks	2019/5/13	2020/1/21	critical
124657	Debian DLA-1778-1：symfony 安全更新	Nessus	Debian Local Security Checks	2019/5/7	2021/1/11	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical