Avis du CERT-FR
Objet : Multiples vulnérabilités dans Drupal
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
- Drupal versions 5.14 et antérieures ;
- Drupal versions 6.8 et antérieures.
Résumé
De multiples vulnérabilités dans Drupal permettent de contourner la politique de sécurité.
Description
De multiples vulnérabilités ont été découvertes dans Drupal :
- une faille dans le composant Content Translation permet à un utilisateur ayant des droits de traduction d'accéder à du contenu non autorisé (Drupal 6.x) ;
- lorsque les images sont autorisées dans les profils utilisateur, il est possible d'enregistrer des noms ou des adresses de messagerie théoriquement invalides (Drupal 6.x) ;
- la protection contre les injections SQL n'est pas suffisante (Drupal 5.x et 6.x).
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Drupal SA-CORE-2009-001 du 14 janvier 2009 :
http://drupal.org/node/358957
Gestion détaillée du document
| Date | Description |
|---|---|
| 19 janvier 2009 | version initiale. |