Drupal 10.6.x < 10.6.19 / 11.3.x < 11.3.19 / 11.4.x < 11.4.10 多個弱點 (drupal-2026-10-14)

medium Nessus Plugin ID 365678

語言:

概要

遠端 Web 伺服器上執行的 PHP 應用程式受到多個弱點的影響。

說明

根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 10.6.19 之前的 10.6.x 版、11.3.19 之前的 11.3.x 版或 11.4.10 之前的 11.4.x 版。因此會受到多個弱點影響。

- Drupal 核心連結模組提供可用於內部和外部 URL 的欄位類型。在某些情況下，該模組未充分清理某些標記，這可能導致跨網站指令碼（XSS）漏洞。（CVE-2026-108515）

- 導覽模組未充分清理特定屬性，這可能會導致跨網站指令碼（XSS）弱點。攻擊者必須具有具有輸入包含特定資料屬性之 HTML 標籤的權限的角色，或是管理功能表權限，因此可減輕此弱點。（CVE-2026-108514）

- Drupal 核心的 Field UI 模組內存在遠端程式碼執行弱點。僅使用核心無法直接利用此弱點，但貢獻的模組存在多個嚴重的攻擊路徑。至少有一個已知的攻擊路徑不需要驗證。自訂程式碼也可能暴露易受攻擊的功能。卸載核心 Field UI 模組（field_ui）可減輕此弱點，該模組會在網站更新時提供保護。Drupal Steward 保護：此問題由 Drupal Steward 保護。使用 Drupal Steward 的網站已經受到保護，免受某些已知攻擊媒介的侵害，但所提供的保護不會涵蓋所有可能的漏洞利用。網站應在不久的將來升級，以防發現其他攻擊媒介。（CVE-2026-108097）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。