Drupal 10.6.x < 10.6.13 / 11.3.x < 11.3.14 / 11.4.x < 11.4.4 多个漏洞 (drupal-2026-07-15)

medium Nessus 插件 ID 327097

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 10.6.13 的 10.6.x，低于 11.3.14 的 11.3.x 或低于 11.4.4 的 11.4.x。因此，该软件受到多个漏洞的影响。

- Drupal 核心 11.2 及以上版本集成了 HTMX JavaScript 库。Drupal 核心的 XSS 过滤器未充分审查某些 HTMX 属性，这可导致跨站脚本（XSS）漏洞。攻击者必须能够插入具有特定属性的 HTML，所以已缓解了此漏洞。（CVE-2026-15917）

- 在某些情况下，布局生成器模块未充分审查区块标签，这可导致跨站脚本（XSS）漏洞。攻击者和目标用户都需要同时使用 Layout Builder 编辑界面，所以已缓解了此缺陷。（CVE-2026-55805）

- Image 模块允许您定义和配置图像字段。当图像样式衍生物通过非 private:// 的文件流提供时，模块未充分检查对这些文件的访问。
该漏洞已得到缓解，原因是 Drupal 必须配置为使用造成影响的（非核心）文件方案来提供私有派生图像。像这样的信息泄露问题通常不会提供安全公告（如）所述 PSA-2023-07-12。此补丁作为强化提供。
实现自定义流封装程序的受影响模块可能需要添加类似的增强。
(CVE-2026-15916)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。