偵測

Drupal 9.3.x < 9.3.22 第三方程式庫弱點

high Web App Scanning Plugin ID 113380

語系：

概要

Drupal 9.3.x < 9.3.22 第三方程式庫弱點

說明

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Drupal 執行個體是早於 9.3.22 的 9.3.x 版或早於 9.4.7 的 9.4.x 版。Drupal 使用 Twig 第三方程式庫進行內容範本化和清理。如果未受信任的使用者擁有寫入 Twig 程式碼的存取權，則可能出現多個弱點，包括可能未經授權讀取私人檔案、伺服器上其他檔案的內容或資料庫憑證。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

解決方案

更新至 Drupal 9.3.22 或最新版本。

另請參閱

https://symfony.com/blog/twig-security-release-possibility-to-load-a-template-outside-a-configured-directory-when-using-the-filesystem-loader

https://www.drupal.org/project/drupal/releases/9.3.22

https://www.drupal.org/sa-core-2022-016

Plugin 詳細資訊

嚴重性: High

ID: 113380

類型: remote

已發布: 2022/10/4

已更新: 2023/3/14

掃描範本: api, basic, full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: High

基本分數: 7.8

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 評分資料來源: CVE-2022-39261

CVSS v3

風險因素: High

基本分數: 7.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVSS 評分資料來源: CVE-2022-39261

弱點資訊

CPE: cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:*

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2022/9/28

弱點發布日期: 2022/9/28

參考資訊

CVE: CVE-2022-39261