根據應用程式自我報告的版本號碼，偵測到的 Drupal 應用程式受到下列多個弱點影響：

 - 第三方 Symfony PHP 架構中存在數個瑕疵。

 - 第三方 jQuery JavaScript 程式庫中存在瑕疵。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

在 PHP web 應用程式架構 symfony 中發現數個安全性弱點。多個 symfony 元件受到影響：Framework Bundle、Dependency Injection、Security、HttpFoundation CVE-2019-10909 使用 PHP 範本引擎的表單主題時，並未規避驗證訊息，驗證訊息可能含有使用者輸入時會導致 XSS。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in- the-php-templating-engine CVE-2019-10910 衍生自未經篩選使用者輸入的服務 ID 可能導致任何程式碼執行，進而可能造成遠端程式碼執行。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-valid CVE-2019-10911 如此可修正下列問題：cookie 中的部分過期時間被認定為部分使用者名稱，或是部分使用者名稱被認定為部分過期時間。攻擊者可修改 remember me cookie 並驗證為另一名使用者。僅當 remember me 功能已啟用，且有兩名使用者共用一個密碼雜湊，或密碼雜湊 (如 UserInterface::getPassword()) 對所有使用者均為 null (若以外部系統 (如 SSO) 檢查密碼時為有效)，才能發動此攻擊。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remembe r-me-cookie-hash CVE-2019-10913 來自 HTTP 方法本身或使用 X-Http-Method-Override 標頭的 HTTP 方法先前會傳回為上述方法，而不需要對字串進行驗證，也就是說，在未逸出時，這些方法可用於危險內容。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-ove rrides 針對 Debian 8「Jessie」，這些問題已在 2.3.21+dfsg-4+deb8u5 版本中修正。建議您升級 symfony 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本，遠端網頁伺服器上執行的 Drupal 執行個體是 7.66 之前的 7.x 版、8.5.15 之前的 8.5.x 版或 8.6.15 之前的 8.6.x 版。因此，會受到多個弱點影響。- jQuery 專案已發佈 3.4.0 版本，並一併公告會影響所有舊版產品的安全性弱點。如其版本資訊所述：jQuery 3.4.0 包含針對使用 jQuery.extend(true, {}, ...) 時的部份意外行為所做的修正。若未清理的來源物件包含可列舉的 __proto__ property，就可擴大原生 Object.prototype。此修正包含在 jQuery 3.4.0 內，但有修補程式 diffs，可修補舊版的 jQuery。某些 Drupal 模組的此弱點可能會遭到惡意利用。提醒您，此 Drupal 安全性版本會反向移植 jQuery.extend() 的修正，而不對 Drupal 核心 (Drupal 8 為 3.2.1，Drupal 7 為 1.4.4) 內含的 jQuery 版本，或透過其他模組 (如 jQuery Update) 在站點上執行的 jQuery 版本做任何其他變更。(SA-CORE-2019-006) - 此安全性版本可修正 Drupal 核心內含或 Drupal 核心要求的協力廠商相依性。CVE-2019-10909：規避 PHP 範本引擎中的驗證訊息。依據公告：使用 PHP 範本引擎的表單主題時，並未規避驗證訊息，驗證訊息可能含有使用者輸入時會導致 XSS。CVE-2019-10910：確認服務 ID 是否正確。依據公告：衍生自未經篩選使用者輸入的服務 ID 可能導致任何程式碼執行，進而可能造成遠端程式碼執行。CVE-2019-10911：在 remember me cookie 雜湊中新增一個分隔符號。依據公告：如此可修正下列問題：cookie 中的部分過期時間被認定為部分使用者名稱，或是部分使用者名稱被認定為部分過期時間。攻擊者可修改 remember me cookie 並驗證為另一名使用者。僅當 remember me 功能已啟用，且有兩名使用者共用一個密碼雜湊，或密碼雜湊 (如 UserInterface::getPassword()) 對所有使用者均為 null (若以外部系統 (如 SSO) 檢查密碼時為有效)，才能發動此攻擊。(CVE-2019-10909、CVE-2019-10910、CVE-2019-10911) 請注意，Nessus 並未測試這個問題，而是僅依據應用程式自我報告的版本號碼。

在 Symfony PHP 架構中發現多個弱點，這些弱點可導致快取繞過、驗證繞過、資訊洩漏、開放重新導向、跨網站要求偽造、任意檔案刪除，或任意程式碼執行。

ID	名稱	產品	系列	已發布	已更新	嚴重性
98545	Drupal 8.x < 8.5.15 多個弱點	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98546	Drupal 7.x < 7.66 多個弱點	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98544	Drupal 8.6.x < 8.6.15 多個弱點	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
124657	Debian DLA-1778-1：symfony 安全性更新	Nessus	Debian Local Security Checks	2019/5/7	2021/1/11	critical
124176	Drupal 7.x < 7.66 / 8.5.x < 8.5.15 / 8.6.x < 8.6.15 多個弱點 (drupal-2019-04-17)	Nessus	CGI abuses	2019/4/19	2022/4/11	critical
124779	Debian DSA-4441-1：symfony - 安全性更新	Nessus	Debian Local Security Checks	2019/5/13	2020/1/21	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical