自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

 - ノードを編集する権限を持つユーザーが、そのノードのコメントの可視性を設定できるプログラムによる欠陥が存在します。これにより、認証されたリモートの攻撃者が、適切な特権なしでノードのコメントの表示設定を調整する可能性があります。(CVE-2016-7570)

 - 折り返し型クロスサイトスクリプティング (XSS) 攻撃を可能にする欠陥があります。HTTP 例外メッセージを処理する際、プログラムがユーザーに返す前に入力を検証しないためにこの欠陥が存在します。これにより、コンテキストによって異なる攻撃者が、特別に細工されたリクエストを作成して、自分のブラウザとサーバー間の信頼関係において、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。(CVE-2016-7571)

 -「system.temporary」ルートに関連する欠陥が存在するため、認証されたリモートの攻撃者が、適切な権限なしに完全な構成のエクスポートをダウンロードする可能性があります。これにより、攻撃者が機密情報に権限なしでアクセスできる可能性があります。(CVE-2016-7572)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

According to its self-reported version number, the detected Drupal application is affected by multiple vulnerabilities :

 - A flaw exists that is due to the program allowing users who have rights to edit a node to set the visibility for comments on that node. This may allow an authenticated remote attacker to adjust a node's comment visibility preferences without the appropriate privileges. (CVE-2016-7570)

 - A flaw exists that allows a reflected cross-site scripting (XSS) attack. This flaw exists because the program does not validate input when handling HTTP exception messages before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2016-7571)

 - A flaw exists related to the 'system.temporary' route that may allow an authenticated remote attacker to download the full config export without the appropriate privileges. This may allow the attacker to gain unauthorized access to sensitive information. (CVE-2016-7572)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根據應用程式自我報告的版本號碼，偵測到的 Drupal 應用程式受到下列多個弱點影響：

 - 此程式允許有權編輯節點的使用者在節點上設定註解的可見度，因而存在瑕疵。經驗證的遠端攻擊者可利用此瑕疵，在沒有適當權限的情況下調整節點的註解可見度喜好設定。(CVE-2016-7570)

 - 有一個瑕疵會允許反映式跨網站指令碼 (XSS) 攻擊。存在此瑕疵的原因是，程式在處理 HTTP 例外狀況訊息時，未驗證輸入便將其傳回給使用者。情境依賴型攻擊者可藉此建立特製的要求，在瀏覽器與伺服器之間的信任關係內的使用者瀏覽器工作階段中執行任意指令碼。(CVE-2016-7571)

 - 存在與 'system.temporary' 路由相關的瑕疵，經驗證的遠端攻擊者可藉此在沒有適當特權的情況下下載完整的組態匯出。這使攻擊者可以取得未經授權存取敏感資訊的權限。(CVE-2016-7572)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

根据其自我报告的版本号，检测到的 Drupal 应用程序受到多个漏洞的影响：

 - 存在一个缺陷，这是由于该程序允许有权编辑节点的用户设置该节点上注释的可见性所致。这可能允许经过身份验证的远程攻击者利用这一问题，无需适当特权，即改变节点评论可见性的首选项。(CVE-2016-7570)

 - 存在一个允许反射型跨站脚本 (XSS) 攻击的缺陷。该缺陷存在的原因是，在将 HTTP 异常信息返回给用户前，对其进行处理时未能验证输入。上下文有关的攻击者可能会借此创建特别构建的请求，在其浏览器与服务器信任关系内的用户浏览器会话中执行任意脚本代码。(CVE-2016-7571)

 - 存在与“system.temporary”路由相关的缺陷，经过身份验证的远程攻击者可利用此缺陷，在没有适当特权的情况下下载完整的配置导出。攻击者可利用这一漏洞获取敏感信息未经授权的访问权限。(CVE-2016-7572)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

The version of Drupal running on the remote web server is 8.x prior to 8.1.10. It is, therefore, affected by multiple vulnerabilities :

  - A flaw exists due to improper checking for     'Administrator comments' permissions, which allows users     who have rights to edit a node to set the visibility for     comments on that node. An authenticated, remote attacker     can exploit this to adjust a node's comment visibility     preferences without the appropriate privileges.
    (CVE-2016-7570)

  - A reflected cross-site scripting (XSS) vulnerability     exists due to a failure to validate input when handling     HTTP exception messages before returning it to users. An     unauthenticated, remote attacker can exploit this, via a     specially crafted request, to execute arbitrary script     code in a user's browser session. (CVE-2016-7571)

  - A flaw exists in the system.temporary route due to a     failure to check 'Export configuration' permissions. An     authenticated, remote attacker can exploit this to     bypass intended access restrictions and download the     full config export, resulting in the disclosure of     sensitive information. (CVE-2016-7572)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのWebサーバーで実行されているDrupalのバージョンは、8.1.10より前の8.xです。したがって、以下の複数の脆弱性の影響を受けます。- 「管理者コメント」権限が不適切にチェックされているための欠陥があり、ノードの編集権限を持つユーザーがそのノードのコメントの表示設定を変更する可能性があります。認証されたリモートの攻撃者がこれを悪用し、適切な特権なしでノードのコメントの表示設定を調整する可能性があります。（CVE-2016-7570）- ユーザーに返す前にHTTP例外メッセージを処理するとき、入力を検証できないため、クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2016-7571）- 「設定のエクスポート」権限のチェックに失敗したため、system.temporaryルートに欠陥があります。認証されたリモートの攻撃者がこれを悪用し、意図したアクセス制限をバイパスして完全な設定のエクスポートをダウンロードし、秘密情報を漏えいする可能性があります。（CVE-2016-7572）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端網頁伺服器上執行的 Drupal 版本為 8.1.10 之前的 8.x 版。因此，會受到多個弱點影響：- 存在一個缺陷，這是因為不當檢查「系統管理員註解」權限所致，其可允許有權編輯節點的使用者設定該節點上的註解可見度。經驗證的遠端攻擊者可加以惡意利用，在沒有適當權限的情況下調整節點的註解可見度偏好設定。(CVE-2016-7570) - 存在一個反映式跨網站指令碼 (XSS) 弱點，這是因為在處理 HTTP 例外狀況訊息時，未驗證輸入即傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。(CVE-2016-7571) - system.temporary 路由中存在一個缺陷，這是因為無法檢查「匯出組態」權限所致。經驗證的遠端攻擊者可加以惡意利用，繞過預定的存取限制及下載完整的組態輸出，進而導致敏感資訊洩漏。(CVE-2016-7572) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Web 服务器上运行的 Drupal 版本为低于 8.1.10 的 8.x 版。因而会受到多个漏洞的影响：- 由于未正确检查“管理员评论”权限，导致存在缺陷，其允许有权编辑节点的用户设置针对该节点评论的可见性。经过身份验证的远程攻击者可利用这一问题，无需适当权限，即改变节点评论可见性的首选项。(CVE-2016-7570) - 由于在将 HTTP 异常信息返回给用户前，对其进行处理时未能验证输入，导致存在反射型跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2016-7571) - 由于未能检查“导出配置”权限，导致系统临时路径存在缺陷。经过身份验证的远程攻击者可以利用这一问题，绕过预期的访问限制，并下载完整的配置导出，进而导致敏感信息泄露。(CVE-2016-7572) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

The version of Drupal installed on the remote server is 8.1.x prior to 8.1.10, and is affected by the following vulnerabilities :

 - A flaw exists that is due to the program allowing users who have rights to edit a node to set the visibility for comments on that node. This may allow an authenticated remote attacker to adjust a node's comment visibility preferences without the appropriate privileges. (CVE-2016-7570)
 - A flaw exists that allows a reflected cross-site scripting (XSS) attack. This flaw exists because the program does not validate input when handling HTTP exception messages before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2016-7571)
 - A flaw exists related to the 'system.temporary' route that may allow an authenticated remote attacker to download the full config export without the appropriate privileges. This may allow the attacker to gain unauthorized access to sensitive information. (CVE-2016-7572)

ID	名稱	產品	系列	已發布	已更新	嚴重性
98550	Drupal 8.2.x < 8.2.0-rc2 の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98550	Drupal 8.2.x < 8.2.0-rc2 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98550	Drupal 8.2.x < 8.2.0-rc2 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98550	Drupal 8.2.x < 8.2.0-rc2 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98551	Drupal 8.x < 8.1.10 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98551	Drupal 8.x < 8.1.10複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98551	Drupal 8.x < 8.1.10 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
98551	Drupal 8.x < 8.1.10 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
94051	Drupal 8.x < 8.1.10 Multiple Vulnerabilities	Nessus	CGI abuses	2016/10/13	2022/4/11	medium
94051	Drupal 8.x < 8.1.10複数の脆弱性	Nessus	CGI abuses	2016/10/13	2022/4/11	medium
94051	Drupal 8.x < 8.1.10 多個弱點	Nessus	CGI abuses	2016/10/13	2022/4/11	medium
94051	Drupal 8.x < 8.1.10 多个漏洞	Nessus	CGI abuses	2016/10/13	2022/4/11	medium
9729	Drupal 8.1.x < 8.1.10 Multiple Vulnerabilities	Nessus Network Monitor	CGI	2016/10/28	2019/3/6	low

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

low