Drupal 開發團隊報告：彙總工具模組中有跨網站要求偽造弱點 CVE：CVE-2012-0826

有一個 CSRF 弱點強制執行彙總工具摘要更新。由於部分服務有速率限制 (例如：Twitter 限制每小時 150 個要求)，此可導致拒絕服務。

此問題會影響 Drupal 6.x 和 7.x。OpenID 未驗證 SREG 和 AX 中已簽署的屬性 CVE：CVE-2012-0825

一群安全性研究人員發現，部分 OpenID 信賴憑證者實作屬性交換 (AX) 的方式有一個瑕疵。若未驗證透過 AX 傳遞的屬性是否已簽署，可允許攻擊者修改使用者的資訊。

此問題會影響 Drupal 6.x 和 7.x。檔案模組中的存取繞過 CVE：CVE-2012-0827

搭配特定欄位存取模組使用私人檔案時，即使使用者無權檢視附加的欄位，檔案模組仍允許使用者下載檔案。

此問題僅影響 Drupal 7.x。

偵測

FreeBSD：drupal -- 多個弱點 (10720fe8-51e0-11e1-91c1-00215c6a37bb)

medium Nessus Plugin ID 57857

找不到變更記錄