Drupal 7.x < 7.86 / 9.2.x < 9.2.11 / 9.3.x < 9.3.3 多個弱點 (drupal-2022-01-19)

medium Nessus Plugin ID 156863

語系：

概要

遠端網頁伺服器上執行的 PHP 應用程式受到多個弱點的影響。

說明

根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 7.86 之前的 7.x 版、9.2.11 之前的 9.2.x 版或 9.3.3 之前的 9.3.x 版。因此，會受到多個弱點影響。

- 在早於 1.10.0 版的 jQuery UI 的對話方塊小工具中，jquery.ui.dialog.js 存在跨網站指令碼 (XSS) 弱點，其允許遠端攻擊者透過 title 選項，插入任意 Web 指令碼或 HTML。
(CVE-2010-5312)

- 早於 1.12.0 版的 jQuery UI 中存在跨網站指令碼 (XSS) 弱點，其可能允許遠端攻擊者透過對話方塊函式的 closeText 參數，插入任意 Web 指令碼或 HTML。(CVE-2016-7103)

- jQuery-UI 是官方的 jQuery 使用者介面程式庫。在早於 1.13.0 版本的 jQuery-UI 中，從不受信任的來源接受 Datepicker 小工具的 `altField` 選項值可能會導致執行不受信任的程式碼。此問題已在 jQuery UI 1.13.0 中修正。任何傳遞至 `altField` 選項的字串值現在都會被視為 CSS 選取器。若要解決此問題，可以不接受來自不受信任來源的 `altField` 選項值。
(CVE-2021-41182)

- jQuery-UI is the official jQuery user interface library. 在早於 1.13.0 版本的 jQuery-UI 中，從不受信任的來源接受 Datepicker 小工具的不同 `*Text` 選項值可能會導致執行不受信任的程式碼。此問題已在 jQuery UI 1.13.0 中修正。傳遞至不同 `*Text` 選項的值現在一律視為純文字，而非 HTML。若要解決此問題，可以不接受來自不受信任來源的 `*Text` 選項值。(CVE-2021-41183)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。