Drupal 10.6.x < 10.6.19 / 11.3.x < 11.3.19 / 11.4.x < 11.4.10 多个漏洞 (drupal-2026-10-14)

medium Nessus 插件 ID 365678

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 10.6.19 的 10.6.x，低于 11.3.19 的 11.3.x 或低于 11.4.10 的 11.4.x。因此，该软件受到多个漏洞的影响。

- Drupal 核心链接模块提供可用于内部和外部 URL 的字段类型。该模块在某些情况下未充分审查某些标记，这可导致跨站脚本（XSS）漏洞。（CVE-2026-108515）

- 导航模块没有对某些属性进行充分的审查，这可导致跨站脚本（XSS）漏洞。攻击者必须拥有有权限输入包含特定数据属性的 HTML 标记的角色或管理菜单权限，这使此漏洞得以缓解。（CVE-2026-108514）

- Drupal 核心的 Field UI 模块中存在一个远程代码执行漏洞。该漏洞无法单独使用核心直接利用，但造成影响的模块存在多种严重的利用路径。至少一个已知的利用路径不要求认证。自定义代码也可能暴露易受攻击的功能。通过卸载核心 Field UI 模块（field_ui）可缓解此漏洞，该模块将在更新站点的同时提供保护。Drupal Steward 保护：此问题由 Drupal Steward 保护。使用 Drupal Steward 的站点已经受到保护，不会受到某些已知攻击载体的影响，但提供的保护无法涵盖所有可能的漏洞利用。应在不久的将来升级站点，以防发现更多攻击载体。（CVE-2026-108097）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。