Drupal RESTWS 模块页面回调 RCE
critical Web App Scanning 插件 ID 98219
语言：
简介
Drupal RESTWS 模块页面回调 RCE描述
远程 Web 服务器上运行的 Drupal 版本受到绑定的 RESTful Web 服务 (RESTWS) 模块中的一个远程代码执行漏洞影响，这是由于处理特别构建的请求时，变更 Drupal 实体默认页面回调的方式中的一个缺陷所致。未经身份验证的远程攻击者可利用此漏洞，通过构建的请求执行任意 PHP 代码。解决方案
升级到 RESTful Web Services 7.x-1.7 / 7.x-2.6 或更高版本。另见
插件详情
严重性: Critical
ID: 98219
类型: remote
发布时间: 2018/6/6
最近更新时间: 2021/9/7
扫描模板: api, basic, full, pci, scan
风险信息
VPR
风险因素: High
分数: 7.5
CVSS v2
风险因素: Critical
基本分数: 10
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: Tenable
CVSS v3
风险因素: Critical
基本分数: 10
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS 分数来源: Tenable
漏洞信息
补丁发布日期: 2018/3/28
漏洞发布日期: 2016/7/13
参考资料信息
BID: 141464
CWE: 20
OWASP: 2010-A4, 2013-A4, 2013-A9, 2017-A5, 2017-A9, 2021-A3, 2021-A6
WASC: Improper Input Handling
CAPEC: 10, 101, 104, 108, 109, 110, 120, 13, 135, 136, 14, 153, 182, 209, 22, 23, 230, 231, 24, 250, 261, 267, 28, 3, 31, 42, 43, 45, 46, 47, 473, 52, 53, 588, 63, 64, 67, 7, 71, 72, 73, 78, 79, 8, 80, 81, 83, 85, 88, 9
DISA STIG: APSC-DV-002560, APSC-DV-002630
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-CM-6b, sp800_53-SI-10
OWASP API: 2019-API7, 2023-API8
OWASP ASVS: 4.0.2-14.2.1, 4.0.2-5.1.3