2017年８月16日Drupal研究人員發(fā)布安全報告，宣稱已修復Drupal8多處漏洞并在線更新安全補丁。由于Drupal強大的定制開發(fā)能力，眾多有技術實力的網站建設公司優(yōu)先選用的網站開發(fā)平臺，存在一定的安全風險。建議用戶及時排查并修復該風險。中新網安將對該漏洞進行持續(xù)關注，并第一時間為您更新相關漏洞信息。
中新網安安全研究院Drupal核心多處高危漏洞總結報告
【漏洞名稱】Drupal核心 - 多處高危漏洞 【風險等級】高危 【影響版本】Drupal core 8.x版本和8.3.7之前的版本 【威脅描述】
當創(chuàng)建視圖時，可以選擇使用Ajax通過過濾器參數更新數據。不過，視圖子模塊僅對配置為Ajax的視圖進行訪問。如果用戶對視圖具有訪問限制，那么可以減輕系統(tǒng)損失，即使用戶正使用另一模塊顯示。
在Drupal8中存在另一繞過訪問權限的關鍵漏洞，當使用REST API時，沒有正確權限的用戶可以通過即使用戶沒有發(fā)布已批準的注釋的權限即可通過已批準的REST發(fā)布注釋。目前，此漏洞已被評估為高危漏洞。
實體訪問系統(tǒng)中存在可能允許不必要的訪問來查看、創(chuàng)建、更新或刪除實體的漏洞。這僅影響不使用或不具有UUID的實體，以及對同一實體的不同修訂版具有不同訪問限制的實體。此漏洞已被評估為高危漏洞。 【應對措施】
|
