The version of Drupal running on the remote web server is 5.x prior to 5.11 or 6.x prior to 6.5. It is, therefore, affected by the following vulnerabilities:

  - The validation functionality in the core upload module in Drupal 6.x before 6.5 allows remote,     authenticated users to bypass intended access restrictions and attach files to content, related to a     logic error. (CVE-2008-4789)   
  - The core upload module in Drupal 5.x before 5.11 allows remote authenticated users to bypass intended     access restrictions and read files attached to content via unknown vectors.(CVE-2008-4790)

  - The user module in Drupal 5.x before 5.11 and 6.x before 6.5 allows remote authenticated users to bypass     intended login access rules and successfully login via unknown vectors.(CVE-2008-4791)

  - The core BlogAPI module in Drupal 5.x before 5.11 and 6.x before 6.5 does not properly validate     unspecified content fields of an internal Drupal form, which allows remote, authenticated users to bypass     intended access restrictions via modified field values. (CVE-2008-4792)

  - The node module API in Drupal 5.x before 5.11 allows remote attackers to bypass node validation and have     unspecified other impact via unknown vectors related to contributed modules. (CVE-2008-4793)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Drupal Project reports :

A logic error in the core upload module validation allowed unprivileged users to attach files to content. Users can view files attached to content which they do not otherwise have access to. If the core upload module is not enabled, your site will not be affected.

A deficiency in the user module allowed users who had been blocked by access rules to continue logging into the site under certain conditions. If you do not use the 'access rules' functionality in core, your site will not be affected.

The BlogAPI module does not implement correct validation for certain content fields, allowing for values to be set for fields which would otherwise be inaccessible on an internal Drupal form. We have hardened these checks in BlogAPI module for this release, but the security team would like to re-iterate that the 'Administer content with BlogAPI' permission should only be given to trusted users. If the core BlogAPI module is not enabled, your site will not be affected.

A weakness in the node module API allowed for node validation to be bypassed in certain circumstances for contributed modules implementing the API. Additional checks have been added to ensure that validation is performed in all cases. This vulnerability only affects sites using one of a very small number of contributed modules, all of which will continue to work correctly with the improved API. None of them were found vulnerable, so our correction is a preventative measure.

リモートWebサーバーで実行しているDrupalのバージョンは、5.11より前の5.xか、6.5より前の6.xです。このため、以下の脆弱性の影響を受けます。

  - 6.5より前のDrupal 6.x内のコアアップロードモジュールの検証機能により、リモートの認証されたユーザーが、意図されたアクセス制限をバイパスし、論理エラーに関連するコンテンツにファイルを添付する可能性があります （CVE-2008-4789）。   
  - 5.11より前のDrupal 5.x内のコアアップロードモジュールにより、リモートの認証されたユーザーが、意図されたアクセス制限をバイパスし、未知のベクトルを介してコンテンツに添付されたファイルを読み取る可能性があります。（CVE-2008-4790）

  - 5.11より前のDrupal 5.xおよび6.5より前のDrupal 6.x内のユーザーモジュールにより、リモートの認証されたユーザーが、意図されたログインアクセスルールをバイパスし、未知のベクトルを介して正常にログインする可能性があります（CVE-2008-4791）。

  - 5.11より前のDrupal 5.xおよび6.5より前のDrupal 6.x内のコアBlogAPIモジュールは、内部のDrupalフォームの詳細不明のコンテンツフィールドを適切に検証しないため、リモートの認証されたユーザーが、変更されたフィールド値を介して、意図されたアクセス制限をバイパスする可能性があります（CVE-2008-4792）。

  - 5.11より前のDrupal 5.x内のノードモジュールAPIにより、リモート攻撃者がノード検証をバイパスし、一因となったモジュールに関連する未知のベクトルを介して詳細不明のその他の影響を与える可能性があります（CVE-2008-4793）。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Web 伺服器上執行的 Drupal 版本為 5.11 之前的 5.x 版或 6.5 之前的 6.x 版。因此，此主機受到以下弱點影響：

  - 在 Drupal 6.x (早於 6.5) 中，核心上傳模組中的驗證功能允許經驗證的遠端使用者繞過預期存取限制，將檔案附加至與邏輯錯誤有關的內容。(CVE-2008-4789)   
  - 在 Drupal 5.x (早於 5.11) 中，核心上傳模組允許經驗證的遠端使用者繞過預期存取限制，透過未知向量讀取附加至內容的檔案。(CVE-2008-4790)

  - 在 Drupal 5.x (早於 5.11) 和 6.x (早於 6.5) 中，使用者模組允許經驗證的遠端使用者繞過預期登入存取規則，透過未知向量成功登入。(CVE-2008-4791)

  - 在 Drupal 5.x (早於 5.11) 和 6.x (早於 6.5) 中，核心 BlogAPI 模組未正確驗證內部 Drupal 表單的不明內容欄位，允許經驗證的遠端使用者能透過已修改的欄位值繞過預期存取限制。(CVE-2008-4792)

  - 在 Drupal 5.x (早於 5.11) 中，節點模組 API 允許遠端攻擊者透過與提供模組相關的未知向量來繞過節點驗證，並產生其他不明影響。(CVE-2008-4793)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Web 服务器上运行的 Drupal 版本为低于 5.11 的 5.x 或低于 6.5 的 6.x 。因此，该服务器受到以下漏洞的影响：

  - 在 6.5 之前的 Drupal 6.x 中，经过认证的远程用户可借助核心上传模块中的验证功能绕过预期访问限制，将文件附加至与逻辑错误有关的内容。(CVE-2008-4789)   
  - 在 5.11 之前的 Drupal 5.x 中，经过验证的远程用户可借助核心上传模块绕过预期访问限制，通过未知矢量读取附加至内容的文件。(CVE-2008-4790)

  - 在 5.11 之前的 Drupal 5.x 和 6.5 之前的 6.x 中，经过验证的远程用户可借助用户模块绕过预期访问限制，通过未知矢量成功登录。(CVE-2008-4791)

  - 在 5.11 之前的 Drupal 5.x 和 6.5 之前的 6.x 中，核心 BlogAPI 模块未正确验证内部 Drupal 表单的未明内容字段，从而使未经验证的远程用户能够通过已修改的字段值绕过预期访问限制。(CVE-2008-4792)

  - 在 5.11 之前的 Drupal 5.x 中，远程攻击者可借助节点模块 API，通过与贡献模块相关的未知矢量来绕过节点验证，并产生其他不明影响。(CVE-2008-4793)

请注意，Nessus 并未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
134979	Drupal 5.x < 5.11 / 6.x < 6.5 Multiple Vulnerabilities (SA-2008-060)	Nessus	CGI abuses	2020/3/30	2022/4/11	high
34389	FreeBSD : drupal -- multiple vulnerabilities (12efc567-9879-11dd-a5e7-0030843d3802)	Nessus	FreeBSD Local Security Checks	2008/10/13	2021/1/6	high
134979	Drupal 5.x < 5.11 / 6.x < 6.5の複数の脆弱性（SA-2008-060）	Nessus	CGI abuses	2020/3/30	2022/4/11	high
134979	Drupal 5.x < 5.11 / 6.x < 6.5 多個弱點 (SA-2008-060)	Nessus	CGI abuses	2020/3/30	2022/4/11	high
134979	Drupal 5.x < 5.11 / 6.x < 6.5 多个漏洞 (SA-2008-060)	Nessus	CGI abuses	2020/3/30	2022/4/11	high

偵測

搜尋 Plugin

high

high

high

high

high