Drupal 7.x < 7.56 / 8.x < 8.3.4 多个漏洞 (SA-CORE-2017-003)

critical Nessus 插件 ID 101063

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.56 的 7.x，或低于 8.3.4 的 8.x。因而会受到多个漏洞的影响：- 由于在特定操作中不安全地处理 PHP 对象，PECL YAML 解析器中存在缺陷。未经身份验证的远程攻击者可利用此问题执行任意代码。(CVE-2017-6920) - 由于在操作文件时，未正确验证用户对多个字段提供的输入，文件 REST 资源中存在缺陷。未经身份验证的远程攻击者可利用此问题对完整性造成不明影响。请注意，只有已启用 RESTful Web Services (rest) 模块、已启用文件 REST 资源并允许 PATCH 请求的网站，才会受到此问题的影响，而且攻击者可以在站点上获得或注册用户帐户，并具有上载文件及修改文件资源的权限。(CVE-2017-6921) - 由于无法确保已由匿名用户上传但未永久添加至网站内容的私密文件，仅对上传该文件的匿名用户可见，而不是对所有匿名用户可见，导致存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题泄露其他匿名用户的文件。(CVE-2017-6922) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。