Multiple security issues was identified and fixed in drupal :

The OpenID module in Drupal 6.x before 6.30 and 7.x before 7.26 allows remote OpenID users to authenticate as other users via unspecified vectors (CVE-2014-1475).

The Taxonomy module in Drupal 7.x before 7.26, when upgraded from an earlier version of Drupal, does not properly restrict access to unpublished content, which allows remote authenticated users to obtain sensitive information via a listing page (CVE-2014-1476).

The updated packages has been upgraded to the 7.26 version which is unaffected by these security flaws.

drupal で、複数のセキュリティ問題が特定され、修正されました：

6.30 より前の Drupal 6.x および 7.26 より前の Drupal 7.x の OpenID モジュールにより、リモートの OpenID ユーザーが、詳細不明なベクトルを介して、他のユーザーとして認証を行う可能性があります（CVE-2014-1475）。

7.26 より前の Drupal 7.x の Taxonomy モジュールが、Drupal の前のバージョンからアップグレードするときに、未公開コンテンツへのアクセスを適切に制限していません。これにより、リモートの認証されているユーザーが、リスト表示ページを介して機密情報を取得する可能性があります（CVE-2014-1476）。

更新済みパッケージが、これらのセキュリティ欠陥の影響を受けない 7.26 バージョンにアップグレードされています。

已在 drupal 中识别并修复了多种安全问题：

在低于 6.30 的 Drupal 6.x 和低于 7.26 的 Drupal 7.x 中，OpenID 模块可允许远程 OpenID 用户通过不明的矢量认证为其他用户 (CVE-2014-1475)。

7.26 之前的 Drupal 7.x 中的 Taxonomy 模块在从 Drupal 的早期版本升级时，未正确限制对未发布内容的访问，这可允许经认证的远程用户通过列表页获取敏感信息 (CVE-2014-1476)。

更新后的程序包已升级到 7.26 版，此版本不受这些安全缺陷的影响。

在 drupal 中發現多個安全性問題且已修正：

在 Drupal 6.30 版之前的 6.x 版和 7.26 版之前的 7.x 版中，OpenID 模組允許遠端 OpenID 使用者透過不明向量，以其他使用者的身分進行驗證 (CVE-2014-1475)。

在 Drupal 7.26 版之前的 7.x 版中，當從舊版 Drupal 進行升級時，Taxonomy 模組並未正確限制未發佈內容，進而允許經驗證的遠端使用者透過清單頁面取得敏感資訊 (CVE-2014-1476)。

更新版套件已升級至 7.26 版本，此版本不會受到這些安全性瑕疵影響。

Multiple vulnerabilities have been discovered in Drupal, a fully-featured content management framework. The Common Vulnerabilities and Exposures project identifies the following issues :

  - CVE-2014-1475     Christian Mainka and Vladislav Mladenov reported a     vulnerability in the OpenID module that allows a     malicious user to log in as other users on the site,     including administrators, and hijack their accounts.

  - CVE-2014-1476     Matt Vance and Damien Tournoud reported an access bypass     vulnerability in the taxonomy module. Under certain     circumstances, unpublished content can appear on listing     pages provided by the taxonomy module and will be     visible to users who should not have permission to see     it.

These fixes require extra updates to the database which can be done from the administration pages. Furthermore this update introduces a new security hardening element for the form API. Please refer to the upstream advisory at drupal.org/SA-CORE-2014-001 for further information.

The remote web server is running a version of Drupal that is 7.x prior to 7.26. It is, therefore, potentially affected by the following security bypass vulnerabilities :

  - An issue exists in the OpenID module that allows an     authenticated attacker to hijack other users' accounts.
    Only user accounts associated with one or more OpenID     entities are affected. (CVE-2014-1475)

  - An issue exists in the Taxonomy module that could allow     potentially sensitive, unpublished content to be     publicly viewable. Only Drupal 7 sites that upgraded     from Drupal 6 or earlier are affected. (CVE-2014-1476)

  - A potential issue exists in the drupal_form_submit()     function within the form API in which access checks are     bypassed.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

多機能のコンテンツ管理フレームワークである Drupal に、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

- CVE-2014-1475 Christian Mainka 氏および Vladislav Mladenov 氏は、OpenID モジュール の脆弱性を報告しました。この脆弱性により、悪意のあるユーザーが、管理者を含めて別のユーザーとしてサイトにログインし、アカウントをハイジャックする可能性があります。

- CVE-2014-1476 Matt Vance 氏および Damien Tournoud 氏は、タクソノミーモジュールのアクセスバイパスの脆弱性を報告しました。特定の状況下において、タクソノミーモジュールが提供する一覧ページに、パブリッシュされていないコンテンツが表示され、閲覧権限のないユーザーが見られるようになっています。

これらの修正では、データベースの追加更新が必要であり、これは管理ページで行うことができます。さらにこの更新により、フォーム API を強化する新しいセキュリティ要素が導入されます。詳細については、drupal.org/SA-CORE-2014-001 の Upstream アドバイザリを参照してください。

リモート Web サーバーは、7.26 より前のバージョン 7.x の Drupal を実行しています。このため、以下のセキュリティバイパス脆弱性の影響を受ける可能性があります：

- OpenID モジュールに、認証された攻撃者が他のユーザーのアカウントをハイジャックできる問題が、存在します。
 1 つ以上の OpenID エンティティに関連したユーザーアカウントのみ、影響を受けます。（CVE-2014-1475）

- Taxonomy モジュールに問題が存在するため、機密の可能性がある未公開のコンテンツを、公開表示可能にできる可能性があります。Drupal 6 または以前からアップグレードされた Drupal 7 のサイトのみが、影響を受けます。（CVE-2014-1476）

- フォーム API 内の drupal_form_submit() 関数に、アクセスチェックがバイパスされる潜在的な問題が存在します。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

在 Drupal（一个功能齐全的内容管理框架）中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2014-1475 Christian Mainka 和 Vladislav Mladenov 报告 OpenID 模块中存在一个漏洞，可允许恶意用户以站点上其他用户（包括管理员）的身份登录和劫持其帐户。

- CVE-2014-1476 Matt Vance 和 Damien Tournoud 报告 taxonomy 模块中存在访问绕过漏洞。在某些情况下，已取消发布的内容可出现在 taxonomy 模块提供的列表页面上，并且本来没有查看权限的用户可以看到。

这些补丁要求进行数据库的额外更新，这些更新可在管理页面进行。而且，此更新还为表单 API 引入了新的安全增强元素。请参阅 drupal.org/SA-CORE-2014-001 上的上游公告以了解更多信息。

远程 Web 服务器运行的 Drupal 版本是低于 7.26 的 7.x。因此，它可能受到以下安全绕过漏洞的影响：

- 在 OpenID 模块中存在一个问题，允许经过认证的攻击者劫持其他用户的帐户。
 仅影响与一个或多个 OpenID 实体关联的用户帐户。(CVE-2014-1475)

- 在 Taxonomy 模块中存在一个问题，可允许公开查看未发布的潜在敏感内容。只有从 Drupal 6 或更早版本升级而来的 Drupal 7 站点会受到影响。(CVE-2014-1476)

- 在表单 API 的 drupal_form_submit() 函数中存在一个潜在问题，该问题会绕过访问检查。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

在功能完善的內容管理架構 Drupal 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2014-1475 Christian Mainka 和 Vladislav Mladenov 報告，OpenID 模組中有一個弱點，該弱點會允許惡意使用者以其他使用者 (包括系統管理員) 身分登入網站，然後劫持其帳戶。

- CVE-2014-1476 Matt Vance 和 Damien Tournoud 報告，在 taxonomy 模組中有存取繞過弱點。在某些情況下，未發佈內容可顯示在 taxonomy 模組提供的清單頁面上，且會讓不應有權看到的使用者看到。

這些修正需要額外的資料庫更新，該步驟可以在管理頁面完成。此外，此更新也針對表單 API 引入了一個新安全性增強功能元素。如需進一步資訊，請參閱 drupal.org/SA-CORE-2014-001 的上游公告。

遠端 Web 伺服器執行的 Drupal 7.x 版本為 7.26 之前的版本。因此可能受到以下安全性繞過弱點影響：

- OpenID 模組中存在一個問題，其允許經驗證的攻擊者劫持其他使用者的帳戶。
 只有與一或多個 OpenID 項目相關聯的使用者帳戶會受影響。(CVE-2014-1475)

- Taxonomy 模組中存在一個問題，其可允許潛在的敏感、未發佈內容變成可公開檢視。僅從 Drupal 6 或之前版本升級的 Drupal 7 網站會受到影響。(CVE-2014-1476)

- 表單 API 內的 drupal_form_submit() 函式中存在一個潛在問題，在此情況下，會繞過存取檢查。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	Name	Product	Family	Published	Updated	Severity
72529	Mandriva Linux Security Advisory : drupal (MDVSA-2014:031)	Nessus	Mandriva Local Security Checks	2/16/2014	1/6/2021	high
72529	Mandriva Linux セキュリティアドバイザリ：drupal（MDVSA-2014:031）	Nessus	Mandriva Local Security Checks	2/16/2014	1/6/2021	high
72529	Mandriva Linux 安全公告：drupal (MDVSA-2014:031)	Nessus	Mandriva Local Security Checks	2/16/2014	1/6/2021	high
72529	Mandriva Linux 安全性公告：drupal (MDVSA-2014:031)	Nessus	Mandriva Local Security Checks	2/16/2014	1/6/2021	high
72046	Debian DSA-2847-1 : drupal7 - several vulnerabilities	Nessus	Debian Local Security Checks	1/21/2014	1/11/2021	high
72103	Drupal 7.x < 7.26 Multiple Vulnerabilities	Nessus	CGI abuses	1/23/2014	4/11/2022	high
72046	Debian DSA-2847-1：drupal7 - いくつかの脆弱性	Nessus	Debian Local Security Checks	1/21/2014	1/11/2021	high
72103	Drupal 7.x < 7.26 複数の脆弱性	Nessus	CGI abuses	1/23/2014	4/11/2022	high
72046	Debian DSA-2847-1：drupal7 - 多个漏洞	Nessus	Debian Local Security Checks	1/21/2014	1/11/2021	high
72103	Drupal 7.x < 7.26 多种漏洞	Nessus	CGI abuses	1/23/2014	4/11/2022	high
72046	Debian DSA-2847-1 : drupal7 - 數個弱點	Nessus	Debian Local Security Checks	1/21/2014	1/11/2021	high
72103	Drupal 7.x < 7.26 多個弱點	Nessus	CGI abuses	1/23/2014	4/11/2022	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high