Drupal Webformにコード注入の弱点、修正版あり
Summary
Drupal 用モジュール Webform に、ログイン不要でネットワーク越しに悪用できるコード注入の弱点が見つかり、CVSS 9.1(Critical)と評価されています。問い合わせフォームやアンケートに Webform を使っている Drupal サイトが対象で、6.2.12 または 6.3.1 への更新が必要です。実際の攻撃での悪用が確認されたという情報は、現時点では公表されていません。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Drupal 用モジュール Webform に、ログイン不要でネットワーク越しに悪用できるコード注入の弱点が見つかり、CVSS 9.1(Critical)と評価されています。問い合わせフォームやアンケートに Webform を使っている Drupal サイトが対象で、6.2.12 または 6.3.1 への更新が必要です。実際の攻撃での悪用が確認されたという情報は、現時点では公表されていません。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Drupal | Webform |
≥ 0.0.0, < 6.2.12 ≥ 6.3.0, < 6.3.1 |
6.2.12 6.3.1 |
Original description The description as published by the source.
Improper Neutralization of Special Elements Used in a Template Engine vulnerability in Drupal Webform allows Code Injection. This issue affects Webform versions: from 0.0.0 to 6.2.12, from 6.3.0 to 6.3.1.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web drupal.org
- web github.com
- web git.drupalcode.org
- web drupal.org