Drupal 10.5.x < 10.5.12 / 10.6.x < 10.6.11 / 11.2.x < 11.2.14 / 11.3.x < 11.3.12 多個弱點 (drupal-2026-06-17)

critical Nessus Plugin ID 321519

語言:

概要

遠端 Web 伺服器上執行的 PHP 應用程式受到多個弱點的影響。

說明

根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 10.5.12 之前的 10.5.x 版、10.6.11 之前的 10.6.x 版、11.2.14 之前的 11.2.x 版或 11.3.12 之前的 11.3.x 版。因此會受到多個弱點影響。

- Drupal 核心包含一連串方法，當網站上存在不安全的還原序列化弱點時，這些方法可能會被利用。這種所謂的小工具鏈不會構成直接威脅，但是一個向量，如果應用程式由於另一個漏洞而反序列化不受信任的資料，則可用於實現遠端程式碼執行或 SQL 注入。此問題無法直接惡意利用。為了使其可供惡意利用，必須存在單獨的弱點，以允許攻擊者將不安全的輸入傳遞至 unserialize（），從而緩解了此問題。（CVE-2026-55804）

- Drupal 核心附帶一個rebuild.php前端控制器，可用於在站台處於非預期狀態時重建Drupal（清除快取和重建容器）。此指令碼無法根據受信任的主機模式清單正確檢查主機標頭。這可能會導致快取中毒或重新導向至攻擊者控制的網域。（CVE-2026-55806）

- JSON：API 和 REST 模組可讓您將影像檔案上傳至影像欄位。驗證規則會檢查已上傳檔案的副檔名，但不會檢查檔案 MIME 類型。這可能會允許惡意使用者上傳非影像的檔案。某些 Web 伺服器設定可能會以實際的 MIME 類型而不是影像類型來提供上傳的檔案。這可能會導致跨網站指令碼（XSS）或其他意外行為。（CVE-2026-55808）

- 媒體模組支援 oEmbed。oEmbed 規格包含兩種發現機制：透過providers.json和透過 URL 發現。URL 發現程式碼可用於誘騙 Drupal 向任何 URL 發出伺服器端請求。（CVE-2026-55807）

- SA-CORE-2019-003 新增了對儲存序列化資料的欄位的保護，以禁止透過 Web 服務直接寫入。上述修正並未涵蓋 JSON：API 的所有潛在攻擊媒介。在某些極少數情況下，具有適當 JSON：API 寫入權限的攻擊者可能會插入惡意負載，從而可能導致 PHP 物件插入。為了可惡意利用，此弱點可減輕：網站必須使用儲存序列化屬性的實體參考欄位類型。攻擊者必須具有透過 JSON：API 寫入實體的權限。Drupal 核心隨附的任何欄位類型都不符合這些條件，並且貢獻或使用者建立的欄位類型看起來非常不尋常。此更新會保護所有此類欄位;貢獻的模組不需要進行任何變更。
JSON：API 預設為唯讀，因此只有在網站已啟用寫入存取權時才會受到影響（透過管理員設定或安裝啟用寫入存取權的貢獻或自訂模組）。Drupal Steward 保護：此問題由 Drupal Steward 保護。在這種情況下，我們認為 WAF 規則將為常見/明顯的漏洞路徑提供緩解措施，但可能無法涵蓋所有情況或適用於所有託管提供者。此外，今天發布的其他幾個核心安全公告並未得到 Drupal Steward 的緩解。因此，我們建議的行動仍然是在此版本發布後的 24 小時內計劃實際的 Drupal 更新。（CVE-2026-55803）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。