Разработчики Drupal сообщили об уязвимостях системы

Разработчики open source-системы управления контентом Drupal сообщили о двух уязвимостях, которые могут быть использованы для атак ПК пользователей и серверов. Разработчики классифицируют эти проблемы как критические.

Согласно команде разработчиков, файлы могут быть загружены, когда создан новый запрос, но модуль не может проверить загруженный файл на соответствие разрешенному типу файлов, что позволяет внедрить JavaScript и выполнить его в браузере пользователя. Кроме того, можно загрузить внешний PHP-скрипт, и тем самым скомпрометировать сервер.

Для осуществления успешной атаки ядро модуля Upload должно быть активировано, но оно активируется по умолчанию в версиях 5.x-2.x. Кроме того, есть возможность проведения межсайтового скриптинга. Однако, для его проведения необходимы специальные привилегии редактора, сообщает heise-security.co.uk.

Ошибки присутствуют в версиях 5.x-2.x-dev до 30.1.2008 г., 5.x-1,2, 4.7.x-2,6, 4.7.x-1,6 и предыдущих версиях. Разработчики рекомендуют обновить систему до версий 5.x-2,0, 5.x-1,3, 4.7.x-2,7 или 4.7.x-1,7. Обновление требует изменения конфигурации.