According to its self-reported version number, the detected Drupal application is affected by multiple vulnerabilities :

 - A flaw exists in the PECL YAML parser due to unsafe handling of PHP objects during certain operations. An unauthenticated, remote attacker can exploit this to execute arbitrary code. (CVE-2017-6920)

 - A flaw exists in the file REST resource due to improper validation of user-supplied input to multiple fields when manipulating files. An unauthenticated, remote attacker can exploit this to have an unspecified impact on integrity. Note that a site is only affected by this issue if it has the RESTful Web Services (rest) module enabled, the file REST resource is enabled and allows PATCH requests, and the attacker can get or register a user account on the site with permissions to upload files and to modify the file resource. (CVE-2017-6921)

 - An information disclosure vulnerability exists due to a failure to ensure that private files that have been uploaded by an anonymous user but not permanently attached to content on the site are only visible to the anonymous user who uploaded them instead of all anonymous users. An unauthenticated, remote attacker can exploit this to disclose the files of other anonymous users. (CVE-2017-6922)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根據應用程式自我報告的版本號碼，偵測到的 Drupal 應用程式受到下列多個弱點影響：

 - PECL YAML 剖析器中存在瑕疵，這是在特定作業期間以不安全的方式處理 PHP 物件所導致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。(CVE-2017-6920)

 - 在操控檔案時，檔案 REST 資源中存在瑕疵，這是未正確驗證多個欄位的使用者輸入所導致。未經驗證的遠端攻擊者可加以惡意利用，對完整性造成不明影響。請注意，只有已啟用 RESTful Web Services (rest) 模組、已啟用檔案 REST 資源且允許 PATCH 要求的網站，才會受此問題影響，而且攻擊者可以在網站上獲得或登錄使用者帳號，並具備上傳檔案及修改檔案資源的權限。(CVE-2017-6921)

 - 存在資訊洩漏弱點，這是因為無法確保匿名使用者上傳但未永久附加到網站內容的私密檔案只對上傳檔案的匿名使用者可見，而非所有匿名使用者皆看得到。未經驗證的遠端攻擊者可利用此弱點洩漏其他匿名使用者的檔案。(CVE-2017-6922)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

 - 特定の操作中に PHP オブジェクトを安全に処理しないため、PECL YAML パーサーに欠陥が存在します。認証されていないリモート攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。 (CVE-2017-6920)

 - ファイルの操作時、複数のフィールドに対してユーザー指定入力が不適切に検証されるため、ファイル REST リソースに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、整合性に詳細不明な影響を与える可能性があります。サイトで RESTful Web Services (rest) モジュールが有効化され、ファイル REST リソースが有効で、パッチリクエストが許可されており、攻撃者がファイルをアップロードし、ファイルリソースを変更する権限を持ち、サイトでユーザーアカウントを取得または登録できる場合にのみ、サイトはこの問題の影響を受けます。(CVE-2017-6921)

 - 匿名のユーザーが、サイトのコンテンツに永続的にはアタッチされないプライベートファイルをアップロードしたとき、すべての匿名ユーザーには表示されずアップロードした匿名ユーザーにのみ表示されるようにすることができないため、情報漏洩の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、他の匿名ユーザーのファイルを漏洩させる可能性があります。(CVE-2017-6922)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自我报告的版本号，检测到的 Drupal 应用程序受到多个漏洞的影响：

 - PECL YAML 解析器中存在缺陷，这是由于在某些操作期间不安全处理 PHP 对象所致。未经身份验证的远程攻击者可利用此漏洞执行任意代码。(CVE-2017-6920)

 - 由于在操作文件时，未正确验证用户对多个字段提供的输入，文件 REST 资源中存在缺陷。未经身份验证的远程攻击者可利用此问题对完整性造成不明影响。请注意，只有已启用 RESTful Web Services (rest) 模块、已启用文件 REST 资源并允许 PATCH 请求的网站，才会受到此问题的影响，而且攻击者可以在站点上获得或注册用户帐户，并具有上载文件及修改文件资源的权限。(CVE-2017-6921)

 - 由于无法确保已由匿名用户上传但未永久添加至网站内容的私密文件，仅对上传该文件的匿名用户可见，而不是对所有匿名用户可见，导致存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题泄露其他匿名用户的文件。(CVE-2017-6922)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Drupalセキュリティチームによる報告:

CVE-2017-6920:PECL YAMLパーサーの安全でないオブジェクト処理。

CVE-2017-6921:ファイルRESTリソースが適切に検証しません

CVE-2017-6922:匿名ユーザーがプライベートファイルシステムにアップロードしたファイルに、他の匿名ユーザーがアクセスできます。

Drupal Security Team Reports :

CVE-2017-6920: PECL YAML parser unsafe object handling.

CVE-2017-6921: File REST resource does not properly validate

CVE-2017-6922: Files uploaded by anonymous users into a private file system can be accessed by other anonymous users.

According to its self-reported version, the instance of Drupal running on the remote web server is 7.x prior to 7.56 or 8.x prior to 8.3.4.
It is, therefore, affected by multiple vulnerabilities :

  - A flaw exists in the PECL YAML parser due to unsafe     handling of PHP objects during certain operations. An     unauthenticated, remote attacker can exploit this to     execute arbitrary code. (CVE-2017-6920)

  - A flaw exists in the file REST resource due to improper     validation of user-supplied input to multiple fields     when manipulating files. An unauthenticated, remote     attacker can exploit this to have an unspecified impact     on integrity. Note that a site is only affected by this     issue if it has the RESTful Web Services (rest) module     enabled, the file REST resource is enabled and allows     PATCH requests, and the attacker can get or register a     user account on the site with permissions to upload     files and to modify the file resource. (CVE-2017-6921)

  - An information disclosure vulnerability exists due to a     failure to ensure that private files that have been     uploaded by an anonymous user but not permanently     attached to content on the site are only visible to the     anonymous user who uploaded them instead of all     anonymous users. An unauthenticated, remote attacker can     exploit this to disclose the files of other anonymous     users. (CVE-2017-6922)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは7.56より前の7.xまたは8.3.4より前の8.xです。したがって、次のような複数の脆弱性の影響を受けます。 - 特定の操作でPHPオブジェクトを安全に処理できないため、PECL YAMLパーサーに欠陥があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。（CVE-2017-6920）- ファイルの操作時、複数のフィールドにユーザーが入力するとき、データが不適切に検証されるため、ファイルRESTリソースに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、整合性に詳細不明な影響を与える可能性があります。サイトでRESTful Web Service（rest）モジュールが有効化され、ファイルRESTリソースが有効、かつPATCHリクエストが許可されており、攻撃者がファイルをアップロードし、ファイルリソースを変更する権限を持ち、サイトでユーザーアカウントを取得または登録できる場合にのみ、サイトはこの問題の影響を受けます。（CVE-2017-6921）- 匿名のユーザーが、サイトのコンテンツに永続的にはアタッチされないプライベートファイルをアップロードしたとき、すべての匿名ユーザーには表示されずアップロードした匿名ユーザーにのみ表示されるようにすることができないため、情報漏えいの脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、他の匿名ユーザーのファイルを漏えいさせる可能性があります。（CVE-2017-6922）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.56 的 7.x，或低于 8.3.4 的 8.x。因而会受到多个漏洞的影响：- 由于在特定操作中不安全地处理 PHP 对象，PECL YAML 解析器中存在缺陷。未经身份验证的远程攻击者可利用此问题执行任意代码。(CVE-2017-6920) - 由于在操作文件时，未正确验证用户对多个字段提供的输入，文件 REST 资源中存在缺陷。未经身份验证的远程攻击者可利用此问题对完整性造成不明影响。请注意，只有已启用 RESTful Web Services (rest) 模块、已启用文件 REST 资源并允许 PATCH 请求的网站，才会受到此问题的影响，而且攻击者可以在站点上获得或注册用户帐户，并具有上载文件及修改文件资源的权限。(CVE-2017-6921) - 由于无法确保已由匿名用户上传但未永久添加至网站内容的私密文件，仅对上传该文件的匿名用户可见，而不是对所有匿名用户可见，导致存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题泄露其他匿名用户的文件。(CVE-2017-6922) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Drupal 執行個體是 7.56 之前的 7.x 版或 8.3.4 之前的 8.x 版。因此，會受到多個弱點影響：- PECL YAML 剖析器中存在一個缺陷，這是因為在特定作業中未安全處理 PHP 物件所致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。(CVE-2017-6920) - 檔案 REST 資源中存在一個缺陷，這是因為在操控檔案時，不當驗證使用者對多個欄位提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，對完整性造成不明影響。請注意，只有已啟用 RESTful Web Services (rest) 模組、已啟用檔案 REST 資源且允許 PATCH 要求的網站，才會受此問題影響，而且攻擊者可以在網站上獲得或登錄使用者帳號，並具備上傳檔案及修改檔案資源的權限。(CVE-2017-6921) - 存在一個資訊洩漏弱點，這是因為無法確保匿名使用者上傳但未永久附加到網站內容的私密檔案只對上傳檔案的匿名使用者可見，而非所有匿名使用者皆看得到所致。未經驗證的遠端攻擊者可加以惡意利用，洩漏其他匿名使用者的檔案。(CVE-2017-6922) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
98558	Drupal 8.x < 8.3.4 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98559	Drupal 7.x < 7.56 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98558	Drupal 8.x < 8.3.4 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98559	Drupal 7.x < 7.56 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98558	Drupal 8.x < 8.3.4複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98559	Drupal 7.x < 7.56複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98558	Drupal 8.x < 8.3.4 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98559	Drupal 7.x < 7.56 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
101276	FreeBSD: drupal -- Drupalコア - 複数の脆弱性（4fc2df49-6279-11e7-be0f-6cf0497db129）	Nessus	FreeBSD Local Security Checks	2017/7/7	2021/1/4	critical
101276	FreeBSD : drupal -- Drupal Core - Multiple Vulnerabilities (4fc2df49-6279-11e7-be0f-6cf0497db129)	Nessus	FreeBSD Local Security Checks	2017/7/7	2021/1/4	critical
101063	Drupal 7.x < 7.56 / 8.x < 8.3.4 Multiple Vulnerabilities (SA-CORE-2017-003)	Nessus	CGI abuses	2017/6/27	2022/4/11	critical
101063	Drupal 7.x < 7.56/8.x < 8.3.4の複数の脆弱性（SA-CORE-2017-003）	Nessus	CGI abuses	2017/6/27	2022/4/11	critical
101063	Drupal 7.x < 7.56 / 8.x < 8.3.4 多个漏洞 (SA-CORE-2017-003)	Nessus	CGI abuses	2017/6/27	2022/4/11	critical
101063	Drupal 7.x < 7.56 / 8.x < 8.3.4 多個弱點 (SA-CORE-2017-003)	Nessus	CGI abuses	2017/6/27	2022/4/11	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical