Drupal development team reports : Cross Site Request Forgery vulnerability in Aggregator module CVE: CVE-2012-0826

A CSRF vulnerability can force an aggregator feed to update. Since some services are rate-limited (e.g. Twitter limits requests to 150 per hour) this could lead to a denial of service.

This issue affects Drupal 6.x and 7.x. OpenID not verifying signed attributes in SREG and AX CVE: CVE-2012-0825

A group of security researchers identified a flaw in how some OpenID relying parties implement Attribute Exchange (AX). Not verifying that attributes being passed through AX have been signed could allow an attacker to modify users' information.

This issue affects Drupal 6.x and 7.x. Access bypass in File module CVE: CVE-2012-0827

When using private files in combination with certain field access modules, the File module will allow users to download the file even if they do not have access to view the field it was attached to.

This issue affects Drupal 7.x only.

Multiple vulnerabilities have been been fixed in the Drupal content management framework, resulting in information disclosure, insufficient validation, cross-site scripting and cross-site request forgery.

Drupal 開発チームによる報告：アグリゲーターモジュールのクロスサイトリクエスト偽造の脆弱性 CVE：CVE-2012-0826

CSRF の脆弱性によって、アグリゲーターフィードを強制的に更新することができます。一部のサービスでは速度制限があるため（例えば、Twitter はリクエストを毎時間 150 に制限）、これがサービス拒否につながる可能性があります。

この問題は Drupal 6.x および 7.x に影響します。SREG および AX CVE で、OpenID が署名された属性を検証しない：CVE-2012-0825

セキュリティ研究者のグループが、一部の OpenID に依存している当事者が Attribute Exchange（AX）を実装する方法に欠陥を発見しました。AX を通じて渡される属性が署名されていることが検証されないため、攻撃者がユーザーの情報を変更できる可能性があります。

この問題は Drupal 6.x および 7.x に影響します。ファイルモジュールでのアクセスのバイパス CVE：CVE-2012-0827

特定のフィールドアクセスモジュールと共にプライベートなファイルを使用する場合、ファイルモジュールによって、アタッチ先のフィールドを表示できる権限がなくても、ユーザーがファイルをダウンロードできます。

この問題は Drupal 7.x にのみ影響します。

Drupal コンテンツ管理フレームワークで、複数の脆弱性が修正されています。この脆弱性では、情報漏洩、不十分な検証、クロスサイトスクリプティング、クロスサイトリクエスト偽造が発生していました。

Drupal 开发团队报告：Aggregator 模块中存在跨站请求伪造漏洞 CVE：CVE-2012-0826

CSRF 漏洞可强制更新聚合器 feed 源。由于某些服务的速度受到限制（如 Twitter 限制为每小时请求 150 次），这可导致拒绝服务。

该问题会影响 Drupal 6.x 和 7.x。OpenID 未验证 SREG 和 AX 中的签名属性 CVE：CVE-2012-0825

一组安全研究人员在某些 OpenID 依赖方执行属性交换 (AX) 的方式中发现一个缺陷。未验证通过 AX 传递的属性是否已签名可允许攻击者修改用户的信息。

该问题会影响 Drupal 6.x 和 7.x。File 模块中的访问绕过 CVE：CVE-2012-0827

当隐私文件与某些字段访问模块一起使用时，File 模块将允许用户下载文件，即使其不具有查看所连接字段的权限。

此问题仅影响 Drupal 7.x。

Drupal 開發團隊報告：彙總工具模組中有跨網站要求偽造弱點 CVE：CVE-2012-0826

有一個 CSRF 弱點強制執行彙總工具摘要更新。由於部分服務有速率限制 (例如：Twitter 限制每小時 150 個要求)，此可導致拒絕服務。

此問題會影響 Drupal 6.x 和 7.x。OpenID 未驗證 SREG 和 AX 中已簽署的屬性 CVE：CVE-2012-0825

一群安全性研究人員發現，部分 OpenID 信賴憑證者實作屬性交換 (AX) 的方式有一個瑕疵。若未驗證透過 AX 傳遞的屬性是否已簽署，可允許攻擊者修改使用者的資訊。

此問題會影響 Drupal 6.x 和 7.x。檔案模組中的存取繞過 CVE：CVE-2012-0827

搭配特定欄位存取模組使用私人檔案時，即使使用者無權檢視附加的欄位，檔案模組仍允許使用者下載檔案。

此問題僅影響 Drupal 7.x。

已修正 Drupal 內容管理框架中的多個弱點，這些弱點會導致資訊洩漏、驗證不足、跨網站指令碼和跨網站要求偽造。

修复了 Drupal 内容管理框架中的多种漏洞，这些漏洞导致信息泄露、不充分的验证、跨站脚本和跨站请求伪造。

ID	名稱	產品	系列	已發布	已更新	嚴重性
57857	FreeBSD : drupal -- multiple vulnerabilities (10720fe8-51e0-11e1-91c1-00215c6a37bb)	Nessus	FreeBSD Local Security Checks	2012/2/8	2021/1/6	medium
70401	Debian DSA-2776-1 : drupal6 - several vulnerabilities	Nessus	Debian Local Security Checks	2013/10/13	2021/1/11	medium
57857	FreeBSD：drupal -- 複数の脆弱性（10720fe8-51e0-11e1-91c1-00215c6a37bb）	Nessus	FreeBSD Local Security Checks	2012/2/8	2021/1/6	medium
70401	Debian DSA-2776-1：drupal6 - いくつかの脆弱性	Nessus	Debian Local Security Checks	2013/10/13	2021/1/11	medium
57857	FreeBSD：drupal -- 多种漏洞 (10720fe8-51e0-11e1-91c1-00215c6a37bb)	Nessus	FreeBSD Local Security Checks	2012/2/8	2021/1/6	medium
57857	FreeBSD：drupal -- 多個弱點 (10720fe8-51e0-11e1-91c1-00215c6a37bb)	Nessus	FreeBSD Local Security Checks	2012/2/8	2021/1/6	medium
70401	Debian DSA-2776-1 : drupal6 - 數個弱點	Nessus	Debian Local Security Checks	2013/10/13	2021/1/11	medium
70401	Debian DSA-2776-1：drupal6 - 多个漏洞	Nessus	Debian Local Security Checks	2013/10/13	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium