Drupal Organic Groups Module sérülékenységek

CH azonosító

CH-6960

Angol cím

Drupal Organic Groups Module Security Bypass and Script Insertion Vulnerabilities

Felfedezés dátuma

2012.06.06.

Súlyosság

Alacsony

Érintett rendszerek

Drupal
Organic groups module

Érintett verziók

Drupal Organic groups Module 6.x

Összefoglaló

A Drupal Organic Groups modul biztonsági hibáját jelentették, amelyet a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokra, a támadók pedig bizonyos biztonsági szabályok megkerülésére használhatnak ki.

Leírás

  1. Az egyik sérülékenységet az okozza, hogy a modul nem ellenőrzi megfelelően az “access content” engedélyeket, ami kihasználható egyébként korlátozott tartalmakhoz való hozzáférésre.
    Ennek a sérülékenységnek a sikeres kihasználásához az összes felhasználónál el kell távolítani az “access content” engedélyeket.
  2. Bizonyos bemeneti adatok a csoport címek létrehozásakor és módosításakor felhasználás előtt nincsenek megfelelően megtisztítva. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában, a káros adat megtekintésekor.
    A sérülékenység sikeres kihasználásához a Vertical Tabs modul megléte (mert annak a konfigurációja tartalmazza az Organic Group kiválasztó felületet (select area)), és csoport cím létrehozására és módosításához való engedélyek szükségesek.

A sérülékenységeket a 6.x-2.x verziók 6.x-2.4 előtti kiadásaiban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2014-3931 – Multi-Router Looking Glass (MRLG) Buffer Overflow sérülékenysége
CVE-2016-10033 – PHPMailer Command Injection sérülékenysége
CVE-2019-5418 – Rails Ruby on Rails Path Traversal sérülékenysége
CVE-2019-9621 – Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2016-4484 – Linux sérülékenység
CVE-2025-32463 – Linux sérülékenység
CVE-2025-32462 – Linux sérülékenység
CVE-2025-6463 – Wordpress sérülékenység
CVE-2024-51978 – Brother sérülékenység
Tovább a sérülékenységekhez »