Drupal 10.5.x < 10.5.9 / 10.6.x < 10.6.7 / 11.2.x < 11.2.11 / 11.3.x < 11.3.7 多个漏洞 (drupal-2026-04-15)

medium Nessus 插件 ID 306602

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 10.5.9 的 10.5.x，低于 10.6.7 的 10.6.x、低于 11.2.11 的 11.2.x 或低于 11.3.7 的 11.3.x。因此，该软件受到多个漏洞的影响。

- Drupal 核心针对 AJAX 模式对话框的 jQuery 集成未充分审查某些选项这可能导致跨站脚本 (XSS) 漏洞。 (CVE-2026-6365)

- Drupal 11.3 支持在将链接添加到 CKEditor 5 的同时完成实体建议。建议未得到充分审查恶意用户可对另一个用户触发存储的跨站脚本攻击。 (CVE-2026-6367)

- Drupal 核心包含一系列方法链当站点上存在不安全的反序列化漏洞时其可被利用。这个所谓的小工具链并不构成直接威胁，而是一个向量，若应用程序因另一漏洞而反序列化不受信任的数据，该向量可用于实现远程代码执行或 SQL 注入。此问题不可直接利用。此问题已得到缓解，因为要利用该漏洞，必须存在单独的漏洞，才能让攻击者向 unserialize() 传递不安全的输入。Drupal 核心中尚未发现此类已知漏洞。
(CVE-2026-6366)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。