Drupal RESTWS 模組頁面回呼 RCE
critical Web App Scanning Plugin ID 98219
語系：
概要
Drupal RESTWS 模組頁面回呼 RCE說明
遠端 Web 伺服器上執行的 Drupal 版本受到隨附 RESTful Web 服務 (RESTWS) 模組中的一個遠端程式碼執行弱點影響，這是因為處理特製要求時，變更 Drupal 實體預設頁面回呼的方式出現一個瑕疵所導致。未經驗證的遠端攻擊者可惡意利用此問題，透過特製要求執行任意 PHP 程式碼。解決方案
升級至 RESTful Web Services 7.x-1.7 / 7.x-2.6 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 98219
類型: remote
已發布: 2018/6/6
已更新: 2021/9/7
掃描範本: api, basic, full, pci, scan
風險資訊
VPR
風險因素: High
分數: 7.5
CVSS v2
風險因素: Critical
基本分數: 10
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: Tenable
CVSS v3
風險因素: Critical
基本分數: 10
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS 評分資料來源: Tenable
弱點資訊
修補程式發佈日期: 2018/3/28
弱點發布日期: 2016/7/13
參考資訊
BID: 141464
CWE: 20
OWASP: 2010-A4, 2013-A4, 2013-A9, 2017-A5, 2017-A9, 2021-A3, 2021-A6
WASC: Improper Input Handling
CAPEC: 10, 101, 104, 108, 109, 110, 120, 13, 135, 136, 14, 153, 182, 209, 22, 23, 230, 231, 24, 250, 261, 267, 28, 3, 31, 42, 43, 45, 46, 47, 473, 52, 53, 588, 63, 64, 67, 7, 71, 72, 73, 78, 79, 8, 80, 81, 83, 85, 88, 9
DISA STIG: APSC-DV-002560, APSC-DV-002630
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-CM-6b, sp800_53-SI-10
OWASP API: 2019-API7, 2023-API8
OWASP ASVS: 4.0.2-14.2.1, 4.0.2-5.1.3