Drupal 10.6.x < 10.6.7 多個弱點
medium Web App Scanning Plugin ID 115224
語言:
概要
Drupal 10.6.x < 10.6.7 多個弱點說明
根據其自我報告的版本號，偵測到的 Drupal 應用程式受到多個漏洞的影響：- Drupal 核心的 AJAX 模式對話方塊的 jQuery 整合未充分清理某些選項，這可能會導致跨網站指令碼 （XSS） 漏洞。
- Drupal 核心包含一連串方法，當網站上存在不安全的反序列化弱點時，這些方法可被利用。如果應用程式由於另一個漏洞而反序列化不受信任的資料，則可以使用這種「小工具鏈」來實現遠端程式碼執行或 SQL 注入。
- Drupal 11.3 支援在新增 CKEditor 5 的連結時完成實體建議。這些建議未充分清理，允許惡意使用者針對其他使用者觸發儲存的跨網站指令碼 （XSS） 攻擊。
請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新至 Drupal 10.6.7 或最新版本。另請參閱
https://www.drupal.org/project/drupal/releases/10.6.7
Plugin 詳細資訊
嚴重性: Medium
ID: 115224
類型: Version Based
已發布: 2026/4/22
已更新: 2026/4/22
掃描範本: api, basic, full, pci, scan
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.8
媒介: CVSS2#AV:N/AC:H/Au:M/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-6366
CVSS v3
風險因素: Medium
基本分數: 6.6
媒介: CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS 評分資料來源: CVE-2026-6366
弱點資訊
CPE: cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:*
可輕鬆利用: No known exploits are available
弱點發布日期: 2026/4/14
參考資訊
CVE: CVE-2026-6365, CVE-2026-6366, CVE-2026-6367
OWASP: 2010-A1, 2010-A2, 2010-A4, 2013-A1, 2013-A3, 2013-A4, 2013-A9, 2017-A1, 2017-A7, 2017-A8, 2017-A9, 2021-A3, 2021-A6, 2021-A8, 2025-A5, 2025-A6, 2025-A8
WASC: Cross-Site Scripting, Improper Input Handling
CAPEC: 209, 586, 588, 591, 592, 63, 85
DISA STIG: APSC-DV-002490, APSC-DV-002560, APSC-DV-002630
HIPAA: 164.306(a)(1), 164.306(a)(2), 164.312(a)(1), 164.312(e)
ISO: 27001-A.13.1.3, 27001-A.13.2.1, 27001-A.14.1.2, 27001-A.14.1.3, 27001-A.14.2.5
NIST: sp800_53-AC-4, sp800_53-CM-6b, sp800_53-SI-10, sp800_53-SI-10(5)
OWASP API: 2019-API7, 2019-API8, 2023-API3, 2023-API8
OWASP ASVS: 4.0.2-14.2.1, 4.0.2-5.1.2, 4.0.2-5.3.3, 4.0.2-5.5.1