توسعه دهندگان Drupal چهار هشدار امنیتی در خصوص این سیستم مدیریت محتوا صادر کردند.یکی از این آسیب پذیری ها بحرانی و 3 تا دیگه نسبتا بحرانی اعلام شده. دروپال از سیستم امتیازدهی NIST استفاده میکنه.
آسیب پذیری CVE-2022-25277 :
آسیب پذیری بحرانی با شناسه CVE-2022-25277 شناخته میشه و روی نسخه های 9.3 و 9.4 تاثیر میذاره . آسیب پذیری در هسته دروپال هستش و امکان اجرای کد PHP دلخواه روی وب سرور آپاچی از طریق آپلود فایل رو فراهم میکنه.این آسیب پذیری به دلیل عدم بررسی مناسب روی آپلود فایل با فرمت htaccess هستش و فقط روی آپاچی جواب میده.
راه حل :
بروزرسانی به نسخه Drupal 9.4.3
بروزرسانی به نسخه Drupal 9.3.19
همچنین توصیه شده که فایل htaccess بررسی کنید تا بازنویسی نشده باشه.
آسیب پذیری CVE-2022-25276 :
این آسیب پذیری هم در هسته دروپال هستش و به دلیل عدم تایید درست تنظیمات iframe domain در Media oEmbed iframe رخ میده و باعث XSS یا سرقت کوکی و افشای اطلاعات میشه.
راه حل :
بروزرسانی به نسخه Drupal 9.4.3
بروزرسانی به نسخه Drupal 9.3.19
آسیب پذیری CVE-2022-25278 :
این آسیب پذیری هم در هسته دروپال هستش و به دلیل عدم ارزیابی صحیح ،دسترسی به عناصر فرم در Drupal core form API رخ میده. این آسیب پذیری ممکنه باعث دسترسی کاربر به داده هایی بشه که نباید به اونا دسترسی داشته باشه. دروپال گفته این آسیب پذیری تو شرایط خاص و روی قالبها و ماژولهای سفارشی ممکنه رخ بده.
راه حل :
بروزرسانی به نسخه Drupal 9.4.3
بروزرسانی به نسخه Drupal 9.3.19
آسیب پذیری CVE-2022-25275 :
این آسیب پذیری هم در هسته دروپال هستش و به دلیل عدم بررسی صحیح دسترسی به فایلهای تصاویر در مکانهای غیر استاندارد ذخیره سازی (standard public files directory) در ماژول Image رخ میده. این آسیب پذیری منجر به افشای اطلاعات میشه.
این آسیب پذیری روی نسخه های قبل از 9.3 و 9.4 و 7 تاثیر داره.
راه حل :
- بروزرسانی به نسخه Drupal 9.4.3
- بروزرسانی به نسخه Drupal 9.3.19
- بروزرسانی به نسخه Drupal 7.91