Updated drupal packages fix security vulnerabilities :

Drupal core's text filtering system provides several features including removing inappropriate HTML tags and automatically linking content that appears to be a link. A pattern in Drupal's text matching was found to be inefficient with certain specially crafted strings.
This vulnerability is mitigated by the fact that users must have the ability to post content sent to the filter system such as a role with the post comments or Forum topic: Create new content permission (CVE-2012-1588).

Drupal core's Form API allows users to set a destination, but failed to validate that the URL was internal to the site. This weakness could be abused to redirect the login to a remote site with a malicious script that harvests the login credentials and redirects to the live site. This vulnerability is mitigated only by the end user's ability to recognize a URL with malicious query parameters to avoid the social engineering required to exploit the problem (CVE-2012-1589).

Drupal core's forum lists fail to check user access to nodes when displaying them in the forum overview page. If an unpublished node was the most recently updated in a forum then users who should not have access to unpublished forum posts were still be able to see meta-data about the forum post such as the post title (CVE-2012-1590).

Drupal core provides the ability to have private files, including images, and Image Styles which create derivative images from an original image that may differ, for example, in size or saturation.
Drupal core failed to properly terminate the page request for cached image styles allowing users to access image derivatives for images they should not be able to view. Furthermore, Drupal didn't set the right headers to prevent image styles from being cached in the browser (CVE-2012-1591).

Drupal core provides the ability to list nodes on a site at admin/content. Drupal core failed to confirm a user viewing that page had access to each node in the list. This vulnerability only concerns sites running a contributed node access module and is mitigated by the fact that users must have a role with the Access the content overview page permission. Unpublished nodes were not displayed to users who only had the Access the content overview page permission (CVE-2012-2153).

The request_path function in includes/bootstrap.inc in Drupal 7.14 and earlier allows remote attackers to obtain sensitive information via the q[] parameter to index.php, which reveals the installation path in an error message (CVE-2012-2922).

A bug in the installer code was identified that allows an attacker to re-install Drupal using an external database server under certain transient conditions. This could allow the attacker to execute arbitrary PHP code on the original server (Drupal SA-CORE-2012-003).

For sites using the core OpenID module, an information disclosure vulnerability was identified that allows an attacker to read files on the local filesystem by attempting to log in to the site using a malicious OpenID server (Drupal SA-CORE-2012-003).

A vulnerability was identified that allows blocked users to appear in user search results, even when the search results are viewed by unprivileged users (CVE-2012-5651).

Drupal core's file upload feature blocks the upload of many files that can be executed on the server by munging the filename. A malicious user could name a file in a manner that bypasses this munging of the filename in Drupal's input validation (CVE-2012-5653).

Multiple vulnerabilities were fixed in the supported Drupal core version 7 (DRUPAL-SA-CORE-2013-001).

A reflected cross-site scripting vulnerability (XSS) was identified in certain Drupal JavaScript functions that pass unexpected user input into jQuery causing it to insert HTML into the page when the intended behavior is to select DOM elements. Multiple core and contributed modules are affected by this issue.

A vulnerability was identified that exposes the title or, in some cases, the content of nodes that the user should not have access to.

Drupal core provides the ability to have private files, including images. A vulnerability was identified in which derivative images (which Drupal automatically creates from these images based on image styles and which may differ, for example, in size or saturation) did not always receive the same protection. Under some circumstances, this would allow users to access image derivatives for images they should not be able to view.

The drupal package was updated to latest version 7.19 to fix above vulnerabilities.

更新 drupal パッケージは、セキュリティの脆弱性を修正します。

Drupal コアのテキストフィルタリングシステムは、いくつかの機能を提供します。これには、適切でない HTML タグを削除したり、リンクであるように見えるコンテンツを自動的にリンクしたりする機能が含まれています。Drupal のテキストマッチのパターンが、特定の特別に細工された文字列では不適切であることが判明しました。
この脆弱性は、ユーザーがフィルターシステムに送信されるコンテンツを投稿できる必要があるという事実により緩和されます。投稿コメントまたはフォーラムトピックのあるロールであることなどが求められます：新しいコンテンツ権限を作成します（CVE-2012-1588）。

Drupal コアの Form API により、ユーザーが宛先を設定できますが、URL がサイトに対して内部のものであることを検証するのに失敗します。この弱点が、悪意のあるスクリプトでログインをリモートサイトにリダイレクトするために悪用される可能性があります。このようなスクリプトは、ログイン認証情報を取得し、ライブサイトにリダイレクトします。この脆弱性は、エンドユーザーが悪意のあるクエリパラメーターのある URL を認識し、問題を悪用するのに必要なソーシャルエンジニアリングを回避できる場合のみ緩和されます（CVE-2012-1589）。

Drupal コアのフォーラムリストは、フォーラム概要ページで表示する際に、ノードに対するユーザーアクセスをチェックできません。パブリッシュされていないノードが、フォーラムで直近に更新された場合、パブリッシュされていないフォーラムの投稿にアクセスすべきでないユーザーがフォーラムの投稿についてのメタデータ（投稿タイトルなど）を確認できました（CVE-2012-1590）。

Drupal コアは、画像を含むプライベートファイル、ならびにオリジナル画像からサイズやサチュレーションなどが異なる派生画像を作成する Image Styles を提供できます。
Drupal コアは、キャッシュイメージスタイルのページリクエストを適切に終了することができませんでした。これにより、ユーザーが本来なら確認できない画像の画像派生物にアクセスする可能性があります。さらに、Drupal は、画像スタイルがブラウザにキャッシュされるのを防止するための適切なヘッダーを設定しませんでした（CVE-2012-1591）。

Drupal コアを使うと、admin/content にあるサイトのノードをリストできます。Drupal コアは、そのページを表示しているユーザーがリストの各ノードにアクセスしていたかを確認できませんでした。この脆弱性は、contributed node access module を実行しているサイトにのみ関係があり、ユーザーがコンテンツ概要ページ権限にアクセスのあるロールでなければならないという事実により緩和されます。パブリッシュされていないノードは、コンテンツ概要ページ権限にアクセスのあるだけのユーザーには表示されませんでした（CVE-2012-2153）。

Drupal 7.14 以前の　includes/bootstrap.inc の request_path 関数により、index.php に対する q[] パラメーターで、リモートの攻撃者が、機密情報を入手する可能性があります。これにより、インストールパスがエラーメッセージで漏洩します（CVE-2012-2922）。

インストーラーコードのバグにより、特定の一過性の条件下で、外部データベースを使用する Drupal を攻撃者が再インストールできることが分かりました。これにより、攻撃者が任意の PHP コードを元のサーバーで実行する可能性があります（Drupal SA-CORE-2012-003）。

コア OpenID モジュールを使用しているサイトで、情報漏洩の脆弱性が特定されました。このため、悪意のある　OpenID サーバーを使用しているサイトへログインしようとすることにより、攻撃者がローカルファイルシステムでファイルを読み取る可能性があります（Drupal SA-CORE-2012-003）。

脆弱性が特定されました。これにより、検索結果が権限のないユーザーにより表示されている場合でも、ブロックされたユーザーがユーザーの検索結果に表示される可能性があります（CVE-2012-5651）。

Drupal コアのファイルアップロード機能は、ファイル名のマンジングによりサーバーで実行できる多数のファイルをブロックします。悪意のあるユーザーが、Drupal の入力検証におけるファイル名のこのマンジングをバイパスするように、ファイルに名前をつける可能性があります（CVE-2012-5653）。

複数の脆弱性がサポートされている Drupal コアバージョン 7 で修正されました（DRUPAL-SA-CORE-2013-001）。

折り返し型クロスサイトスクリプティング脆弱性（XSS）が、予期せぬユーザー入力を jQuery に渡す特定の Drupal JavaScript 関数で特定されました。これにより、意図されている挙動が DOM 要素を選択することであるとき、HTML がページに挿入されました。複数のコアおよびコントリビュートモジュールが、この問題による影響を受けます。

タイトルまたは場合によってはノードのコンテンツを漏洩する脆弱性が特定されました。このような情報は、ユーザーが本来ならアクセスすべきものではありませんでした。

Drupal コアは、画像を含むプライベートファイルを提供できます。脆弱性が特定され、派生画像（Drupal がこれらの画像から画像スタイルに基づいて自動的に作成するもので、サイズやサチュレーションなどが異なります）が同じ保護を常に受けるとは限りませんでした。状況によっては、このためユーザーが本来なら表示すべきでない画像の画像派生物にアクセスする可能性があります。

drupal パッケージが最新バージョンの7.19 に更新され、上述の脆弱性が修正されました。

更新版 drupal 套件可修正安全性弱點：

Drupal 核心的文字篩選系統提供數個功能，包括改善不當的 HTML 標籤與自動連結看似為連結的內容。Drupal 文字的比對模式中發現因某些特製字串而無效。
此弱點會因使用者必須具有張貼傳送至篩選系統之內容的能力 (例如張貼註解的角色) 而減輕，或論壇主題：建立新內容權限 (CVE-2012-1588)。

Drupal 核心的 Form API 允許使用者設定目的地，但無法驗證 URL 是否位於網站內部。此弱點可被濫用來將登入重新導向至具有惡意指令碼的遠端網站，進而收集登入認證並重新導向至即時網站。此弱點只能在終端使用者能夠辨識具有惡意查詢參數的 URL 時減輕，藉以避免惡意探索此問題所需的社交工程 (CVE-2012-1589)。

當在論壇概覽中顯示節點時，Drupal 核心的論壇清單無法檢查使用者對於這些節點的存取權。如果最近在論壇中更新了未發佈的節點，則不應擁有未發佈論壇貼文存取權的使用者仍能看見有關論壇貼文的詮釋資料，例如貼文標題 (CVE-2012-1590)。

Drupal 核心提供擁有私人檔案的能力，包括影像，以及從原始影像中建立衍生影像的影像樣式，這些影像在大小或飽和度等方面會有所不同。
Drupal 核心無法正確終止快取影像樣式的頁面要求，可讓使用者存取他們本不應該能夠檢視之影像的影像衍生品。此外，Drupal 未設定正確的標頭，來防止在瀏覽器中快取影像樣式 (CVE-2012-1591)。

Drupal 核心提供在網站的系統管理/內容上列出節點的能力。Drupal 核心無法確認頁面對清單中的每個節點都具有存取權的使用者檢視。此弱點只與執行提供節點存取模組的網站有關，且會因使用者必須擁有能夠存取內容概覽頁面權限的角色而減輕。未發佈的節點不會顯示給只有內容概覽頁面權限存取權的使用者 (CVE-2012-2153)。

在 Drupal 7.14 和更舊版本中，includes/bootstrap.inc 中的 request_path 函式允許遠端攻擊者透過 index.php 的 q[] 參數取得敏感資訊，進而在錯誤訊息中洩漏安裝路徑 (CVE-2012-2922)。

安裝程式的程式碼中發現一個錯誤，攻擊者可藉此在某些暫時出現的情況下使用外部資料庫伺服器重新安裝 Drupal。這可允許攻擊者在原始伺服器上執行任意 PHP 程式碼 (Drupal SA-CORE-2012-003)。

對於使用核心 OpenID 模組的網站，發現一個資訊洩漏弱點，可允許攻擊者嘗試使用惡意 OpenID 伺服器登入網站，以在本機檔案系統上讀取檔案 (Drupal SA-CORE-2012-003)。

發現一個弱點，可允許封鎖的使用者顯示在使用者搜尋結果中，即使當無權限的使用者檢視搜尋結果時也是如此 (CVE-2012-5651)。

Drupal 核心的檔案上傳功能可封鎖許多檔案的上傳，其可在伺服器上透過 munging 檔案名稱來執行。惡意使用者可在 Drupal 的輸入驗證中以繞過此檔案名稱 munging 的方式為檔案命名 (CVE-2012-5653)。

已在支援的 Drupal 核心版本 7 中修正多個弱點 (DRUPAL-SA-CORE-2013-001)。

在某些 Drupal JavaScript 函式中發現一個反射式跨網站指令碼弱點 (XSS)，可將非預期使用者輸入傳遞至 jQuery，導致其在預定行為是選取 DOM 元素時將 HTML 插入到頁面中。多個核心與提供模組受到此問題影響。

發現一個弱點，可洩漏標題，或在某些情況下，洩漏使用者不應具有存取權之節點的內容。

Drupal 核心提供擁有私人檔案的能力，包括影像在內。發現一個弱點，衍生影像 (Drupal 根據影像樣式從這些影像中自動建立，並可能在大小或飽和度等方面有所不同) 不會總是獲得相同保護。在某些情況下，這會允許使用者針對他們本不應能夠檢視的影像存取影像衍生品。

drupal 套件已更新至最新的 7.19 版，可修正以上弱點。

更新后的 drupal 程序包修复了安全漏洞：

Drupal 核心的文本过滤系统提供多个功能，包括删除不适当的 HTML 标记和自动链接形似链接的内容。发现 Drupal 的文本匹配中的一种模式对某些特别构建的字符串效率低下。
此漏洞得到缓解，原因是用户必须能够对发送到过滤器系统的内容进行发布，例如作为具有帖子评论或“论坛主题：创建新内容”权限的角色进行发布 (CVE-2012-1588)。

Drupal 核心的 Form API 允许用户设置目的地，但无法验证 URL 是否在站点内部。此漏洞可被滥用于将登录重定向到具有恶意脚本的远程站点，该站点会收集登录凭据并重定向到实时站点。只有最终用户能够识别具有恶意查询参数的 URL 以避免利用该问题所需的社交工程才能缓解此漏洞 (CVE-2012-1589)。

Drupal 核心的论坛列表在论坛概述页面中显示节点之前无法检查用户对节点的访问。如果未发布的节点是论坛中最后更新的内容，则不应对未发布的论坛帖子具有访问权限的用户仍能够查看与该论坛帖子有关的元数据，例如帖子标题 (CVE-2012-1590)。

Drupal 核心提供拥有包括图像在内的私有文件的功能以及从大小或饱和度可能各异的原始图像中创建衍生图像的图像样式。
Drupal 核心无法正确地确定缓存的图像样式的页面请求，从而允许用户访问其不应查看的图像的图像衍生物。此外，Drupal 未设置正确的标头，阻碍在浏览器中缓存图像样式 (CVE-2012-1591)。

Drupal 提供在 admin/content 中列出站点上的节点的功能。Drupal 核心无法确认查看该页面的用户是否具有对列表中每个节点的访问权限。此漏洞仅涉及正在运行造成影响的节点访问模块的站点，此漏洞已得到缓解，因为用户必须拥有具有“访问内容概述页面”权限的角色。未发布的节点不会向仅具有“访问内容概述页面”权限的用户显示 (CVE-2012-2153)。

Drupal 7.14 和更早版本中 includes/bootstrap.inc 的 request_path 函数允许远程攻击者通过 index.php 的 q[] 参数来获得敏感信息，该参数会在错误消息中揭示安装路径 (CVE-2012-2922)。

在安装程序代码中发现一个缺陷，允许攻击者在特定的临时条件下使用外部数据库服务器重新安装 Drupal。这样可允许攻击者在原始服务器上执行任意 PHP 代码 (Drupal SA-CORE-2012-003)。

确定了使用核心 OpenID 模块的站点的一个信息泄露漏洞，该漏洞允许攻击者通过尝试登录使用恶意 OpenID 服务器的站点来读取本地文件系统上的文件 (Drupal SA-CORE-2012-003)。

确定了一个漏洞，即使用户搜索结果被非特权用户查看，该漏洞也允许被阻断的用户出现在搜索结果中 (CVE-2012-5651)。

Drupal 核心的文件上传功能会阻止许多可通过修改文件名在服务器上执行的文件的上传。恶意用户能够以绕过 Drupal 的输入验证中的此文件名修改的方式来命名文件 (CVE-2012-5653)。

修复了受支持的 Drupal 核心版本 7 中的多种漏洞 (DRUPAL-SA-CORE-2013-001)。

确定了某些 Drupal JavaScript 函数中一个反射型跨站脚本漏洞 (XSS)，该漏洞会将非预期输入传递到 jQuery 中，从而导致其在预期行为是选择 DOM 元素时将 HTML 插入页面。多种核心和造成影响的模块受到此问题的影响。

确定了一个漏洞，该漏洞会暴露标题或在某些情况下暴露用户不应有权访问的节点内容。

Drupal 核心提供拥有包括图像在内的私有文件的功能。确定了一个漏洞，表现为衍生的图像（Drupal 基于可能不同的大小或饱和度等图像样式自动从这些图像创建）未始终得到相同的保护。在某些情况下，这样将允许用户访问其不应能查看的图像的图像衍生物。

drupal 程序包已更新到最新版本 7.19，修复了以上漏洞。

ID	Name	Product	Family	Published	Updated	Severity
66088	Mandriva Linux Security Advisory : drupal (MDVSA-2013:074)	Nessus	Mandriva Local Security Checks	4/20/2013	1/6/2021	medium
66088	Mandriva Linux セキュリティアドバイザリ：drupal（MDVSA-2013:074）	Nessus	Mandriva Local Security Checks	4/20/2013	1/6/2021	medium
66088	Mandriva Linux 安全性公告：drupal (MDVSA-2013:074)	Nessus	Mandriva Local Security Checks	4/20/2013	1/6/2021	medium
66088	Mandriva Linux 安全公告：drupal (MDVSA-2013:074)	Nessus	Mandriva Local Security Checks	4/20/2013	1/6/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium