Drupal Organic Groups Module sérülékenységek

CH azonosító

CH-6960

Angol cím

Drupal Organic Groups Module Security Bypass and Script Insertion Vulnerabilities

Felfedezés dátuma

2012.06.06.

Súlyosság

Alacsony

Érintett rendszerek

Drupal
Organic groups module

Érintett verziók

Drupal Organic groups Module 6.x

Összefoglaló

A Drupal Organic Groups modul biztonsági hibáját jelentették, amelyet a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokra, a támadók pedig bizonyos biztonsági szabályok megkerülésére használhatnak ki.

Leírás

  1. Az egyik sérülékenységet az okozza, hogy a modul nem ellenőrzi megfelelően az “access content” engedélyeket, ami kihasználható egyébként korlátozott tartalmakhoz való hozzáférésre.
    Ennek a sérülékenységnek a sikeres kihasználásához az összes felhasználónál el kell távolítani az “access content” engedélyeket.
  2. Bizonyos bemeneti adatok a csoport címek létrehozásakor és módosításakor felhasználás előtt nincsenek megfelelően megtisztítva. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában, a káros adat megtekintésekor.
    A sérülékenység sikeres kihasználásához a Vertical Tabs modul megléte (mert annak a konfigurációja tartalmazza az Organic Group kiválasztó felületet (select area)), és csoport cím létrehozására és módosításához való engedélyek szükségesek.

A sérülékenységeket a 6.x-2.x verziók 6.x-2.4 előtti kiadásaiban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2023-26278 – IBM QRadar WinCollect Agent sérülékenysége
CVE-2023-26277 – IBM QRadar WinCollect Agent sérülékenysége
CVE-2023-33175 – Python ToUI modul sérülékenysége
CVE-2023-27988 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-32074 – Nextcloud User OIDC (OpenID Connect) sérülékenysége
CVE-2023-0950 – LibreOffice sérülékenysége
CVE-2023-2868 – Barracuda Email Security Gateway sérülékenysége
CVE-2023-33950 – Liferay Portal sérülékenysége
CVE-2023-33949 – Liferay Portal A1 Community Edition, Liferay Digital Experience Platform (DXP) sérülékenysége
CVE-2023-33010 – Zyxel termékek DoS és RCE sérülékenysége
Tovább a sérülékenységekhez »