Zaloguj się
Deutsch English Español Polski
Średnia

Cross-site Scripting in Drupal Core

  • Ujawniono: 12.02.2022
  • Aktualizacja: 11.10.2026 11:17

Access Bypass vulnerability in Drupal Core allows for an attacker to leverage the way that HTML is rendered for affected forms in order to exploit the vulnerability. This issue affects: Drupal Core 8.8.x versions prior to 8.8.10; 8.9.x versions prior to 8.9.6; 9.0.x versions prior to 9.0.6.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer drupal/core >= 8.0.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6 8.8.10, 8.9.6, 9.0.6
Paczka Composer drupal/drupal >= 8.0.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6 8.8.10, 8.9.6, 9.0.6
Drupal (rdzeń) drupal/core >= 8.0.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6, >= 8.0.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6 8.8.10, 8.9.6, 9.0.6

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer, Drupal
Paczka
drupal/core, drupal/drupal
Ujawniono
12.02.2022
Aktualizacja
11.10.2026 11:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-m6q5-wv4x-fv6h - CC BY 4.0

Historia podatności: drupal/drupal

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (81) w archiwum
Wszystkich wpisów
81
Pierwsza → ostatnia
03.2018 11.2024
Bez poprawki
0
Wykorzystywana w atakach
4

Rozkład istotności

  • Krytyczna 9
  • Wysoka 28
  • Średnia 42
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Cross-site Scripting in Drupal Core ten wpis
    Średnia · 6.1 CVE-2020-13668 >= 8.0.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6 8.8.10, 8.9.6, 9.0.6
  2. Drupal core contains a potential PHP Object Injection vulnerability
    Wysoka · 9.8 CVE-2024-55638 >= 8.8.0, < 10.2.11, >= 10.3.0, < 10.3.9, >= 7.0, < 7.102 10.2.11, 10.3.9, 7.102
  3. Drupal core contains a potential PHP Object Injection vulnerability
    Wysoka · 9.8 CVE-2024-55637 >= 8.8.0, < 10.2.11, >= 10.3.0, < 10.3.9, >= 11.0.0, < 11.0.8 10.2.11, 10.3.9, 11.0.8
  4. Drupal core Arbitrary PHP code execution
    Wysoka · 7.8 ghsa-j66p-fvp2-fxhj >= 7.0.0, < 7.75, >= 8.0.0, < 8.8.12, >= 8.9.0, < 8.9.10, >= 9.0.0, < 9.0.9 7.75, 8.8.12, 8.9.10, 9.0.9
  5. Drupal core Multiple vulnerabilities due to the use of the third-party library Archive_Tar
    Wysoka · 8.1 ghsa-m9fv-whq2-6wmc >= 7.0.0, < 7.69, >= 8.0.0, < 8.7.11, >= 8.8.0, < 8.8.1 7.69, 8.7.11, 8.8.1
  6. Drupal core Remote Code Execution
    Krytyczna ghsa-jf8c-36vw-98x4 >= 7.0, < 7.60, >= 8.0.0, < 8.5.8, >= 8.6.0, < 8.6.2 7.60, 8.5.8, 8.6.2
  7. Drupal Core Insufficient Contextual Links validation leads to Remote Code Execution
    Krytyczna ghsa-jjx7-8462-w4m4 >= 8.0.0, < 8.5.8, >= 8.6.0, < 8.6.2 8.5.8, 8.6.2
  8. Drupal has open redirect vulnerability in the Overlay module
    Wysoka · 7.5 CVE-2013-6389 >= 7.0, < 7.24 7.24
  9. Drupal Open Redirect
    Wysoka · 7.4 CVE-2016-3164 >= 6.0, < 6.38, >= 7.0, < 7.43, >= 8.0, < 8.0.4 6.38, 7.43, 8.0.4
  10. Drupal Form API ignores access restrictions on submit buttons
    Wysoka · 7.5 CVE-2016-3165 >= 6.0, < 6.38 6.38
  11. Drupal saving user accounts can sometimes grant the user all roles
    Wysoka · 8.1 CVE-2016-3169 >= 7.0, < 7.43, >= 6.0, < 6.38 7.43, 6.38
  12. Drupal Brute force amplification attacks via XML-RPC
    Wysoka · 7.5 CVE-2016-3163 >= 7.0, < 7.43, >= 6.0, < 6.38 7.43, 6.38
  13. Drupal Open redirect vulnerability in the drupal_goto function
    Wysoka · 7.4 CVE-2016-3167 >= 6.0, < 6.38 6.38
  14. Drupal File upload access bypass and denial of service
    Wysoka · 8.1 CVE-2016-3162 >= 8.0, < 8.0.4, >= 7.0, < 7.43 8.0.4, 7.43
  15. Drupal arbitrary code execution
    Wysoka · 8.1 CVE-2016-3171 >= 6.0, < 6.38 6.38
  16. Drupal Saving user accounts can sometimes grant the user all roles
    Wysoka · 8.8 CVE-2016-6211 >= 7.0, < 7.44 7.44
  17. Drupal Incorrect cache context on password reset page
    Wysoka · 7.5 CVE-2016-9450 >= 8.0, < 8.2.3 8.2.3
  18. Drupal Cross-Site Request Forgery (CSRF)
    Wysoka · 7.5 CVE-2017-6379 >= 8.2.0, < 8.2.7 8.2.7
  19. Drupal Node Validation Bypass in the node module API
    Wysoka CVE-2008-4793 >= 5.0, < 5.11 5.11
  20. Drupal Comment reply form allows access to restricted content
    Wysoka · 8.1 CVE-2017-6926 >= 8.4.0, < 8.4.5, >= 7.0, < 7.57 8.4.5, 7.57
  21. Drupal PECL YAML parser unsafe object handling
    Krytyczna · 9.8 CVE-2017-6920 >= 8.0, < 8.3.4 8.3.4
Pokaż więcej (17) Widać 21 z 38

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.