Das Modul File Force Download für Drupal 7 in den Versionen 7.1.0 bis 7.1.2 liefert Download-Header für Dateien im temporary:// Schema und für Dateien aus Stream-Wrappern anderer Module aus, ohne die Zugriffsrechte zu prüfen. Ein nicht angemeldeter Besucher kann solche Dateien abrufen, indem er download=1 an die Datei-URL anhängt, und so die Zugriffsprüfungen umgehen, die sonst gelten würden. Dateien in den Schemas public und private sind nicht betroffen. Der CVSS-4.0-Basiswert beträgt 8.7 (High), und die Auswirkung beschränkt sich auf die Vertraulichkeit.
Drupal · File Force Download
Das Drupal-Contrib-Modul Block AJAX (block_ajax) validiert vom Benutzer gelieferte Daten, die es zum Aufbau eines Blocks verwendet, nicht ausreichend. Im schlimmsten Fall kann dies zu PHP-Objekt-Injection und Remote Code Execution führen. Laut Drupal betrifft das Problem nur Websites mit aktiviertem Layout Builder oder einem anderen Block-Plugin, das die Daten unsicher verarbeitet; die Authentifizierungsanforderungen sind noch nicht bestätigt.
Drupal · Block AJAX
Das Drupal-Zusatzmodul Webform, das für Formulare und die Verarbeitung von Eingaben verwendet wird, enthält eine Schwachstelle bei der Template-Engine (CWE-1336). Laut Drupal-Advisory ist die Schwachstelle nur ausnutzbar, wenn ein Formular ein eigenes Format für Mehrfachwerte mit Tokens für Eingabewerte verwendet. Je nach Konfiguration der Website und aktivierten Modulen kann ein Angreifer, der Daten übermitteln kann, Informationen offenlegen, stored Cross-Site Scripting auslösen oder Remote Code Execution erreichen. Der CVSS-Wert 9.1 im Ticket ist von NVD noch nicht bestätigt.
Drupal · Webform
