修正 SA-CORE-2014-003。如需詳細資訊，請參閱：
https://www.drupal.org/drupal-7.29-release-notes

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 7.29 之前的 Drupal 7.x 中Ajax 系統內有跨網站指令碼 (XSS) 弱點會允許遠端攻擊者透過含有啟用 Ajax 之文字欄位和檔案欄位之表單的向量插入任意 Web 指令碼或 HTML。 (CVE-2014-5022)

請注意，Nessus 依賴供應商報告的套件存在。

在 Drupal 內容管理系統中發現多個安全性問題，包括拒絕服務和跨網站指令碼等問題。如需詳細資訊，請造訪：https://www.drupal.org/SA-CORE-2014-003。

遠端網頁伺服器執行的 Drupal 是比 6.32 舊的 6.x 版或比 7.29 舊的 7.x 版。因此可能受到以下弱點影響：

- HTTP 主機標頭 (可用於判斷 Drupal 核心中多站台功能所用的組態檔) 未正確驗證標頭值，其可能導致拒絕服務。此也可能影響不使用多站台功能的網站。(CVE-2014-5019)

- Drupal 7.x 中的檔案模組建立附件時，未正確檢查檔案權限。這可允許攻擊者取得任意檔案的存取權。
 (CVE-2014-5020)

- 表單 API 未正確清理選取元素中的選項群組標籤，其可允許不明的跨網站指令碼攻擊。(CVE-2014-5021)

- 內含支援 Ajax 的文字欄位和檔案欄位組合的表單可能存在不明的跨網站指令碼弱點。(CVE-2014-5022)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

更新版 drupal 套件可修正安全性弱點：

在 7.27 版之前的 Drupal 中發現一個資訊洩漏弱點。快取匿名使用者的頁面時，表單狀態可能在匿名使用者之間洩漏。針對匿名使用者記錄的敏感或私人資訊，可能因此洩漏給其他同時與該表單互動的使用者 (CVE-2014-2983)。

在 7.29 版之前的 Drupal 中存有多個安全性問題，包括一個拒絕服務問題、File 模組中的存取繞過問題和多個跨網站指令碼問題 (CVE-2014-5019、CVE-2014-5020、CVE-2014-5021、CVE-2014-5022)。

在 7.31 版之前的 Drupal 中存有一個拒絕服務問題，這是因為在可供公開存取的 XML-RPC 端點中擴充 XML 實體所致。

在 7.32 版之前的 Drupal 中存有一個 SQL 插入問題，這是因為 Drupal 核心處理就緒陳述式的方法所致。惡意使用者可插入任意 SQL 查詢，進而完全控制 Drupal 網站。
此弱點可能遭遠端攻擊者惡意利用，而且無需任何種類的驗證 (CVE-2014-3704)。

Aaron Averill 發現，特製要求可讓使用者存取其他使用者的工作階段，進而允許攻擊者劫持隨機工作階段 (CVE-2014-9015)。

Michael Cullum、Javier Nieto 和 Andres Rojas Guerrero 發現，密碼雜湊 API 允許攻擊者傳送特製要求，進而導致 CPU 和記憶體耗盡。這可能導致網站變得無法使用或沒有回應 (拒絕服務) (CVE-2014-9016)。匿名使用者 (CVE-2014-9016)。

密碼重設 URL 在某些狀況下可被偽造，進而允許攻擊者存取其他使用者的帳戶，而無需知道該帳戶的密碼 (CVE-2015-2559)。

在某些情況下，惡意使用者可建構 URL 來誘騙使用者，使其重新導向至第三方網站，導致使用者可能遭受社交工程攻擊。此外，在 Drupal 6 和 7 中，數個與 URL 相關的 API 函式會遭誘騙而在未預期的情況下通過外部 URL，進而可能導致其他開放重新導向弱點 (CVE-2015-2749、CVE-2015-2750)。

drupal 套件已更新至 7.35 版，可修正此問題和其他錯誤。如需更多詳細資訊，請參閱上游公告及版本資訊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76878	Fedora 19：drupal7-7.29-1.fc19 (2014-8515)	Nessus	Fedora Local Security Checks	2014/7/29	2021/1/11	medium
246712	Linux Distros 未修補的弱點：CVE-2014-5022	Nessus	Misc.	2025/8/9	2025/8/9	medium
76606	Debian DSA-2983-1：drupal7 - 安全性更新	Nessus	Debian Local Security Checks	2014/7/21	2021/1/11	medium
76875	Fedora 20：drupal7-7.29-1.fc20 (2014-8485)	Nessus	Fedora Local Security Checks	2014/7/29	2021/1/11	medium
76619	Drupal 6.x < 6.32 / 7.x < 7.29 多個弱點	Nessus	CGI abuses	2014/7/21	2022/4/11	medium
82456	Mandriva Linux 安全性公告：drupal (MDVSA-2015:181)	Nessus	Mandriva Local Security Checks	2015/3/31	2021/1/14	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high