Drupal 团队报告：

在 Drupal 的错误处理程序中发现一个反射型跨站脚本漏洞。Drupal 在消息区域显示 PHP 错误，一个特别构建的 URL 可能造成恶意脚本被注入到消息中。可通过禁用 admin/settings/error-reporting 的屏幕错误显示功能来避免此问题。此为生产现场的推荐设置。

使用可重设色彩的主题时未审查色彩输入。
恶意的色彩值可被用来插入任意 CSS 和脚本代码。成功利用需要“管理主题”权限。

检测

FreeBSD：drupal6 -- 多种漏洞 (1acf9ec5-877d-11e0-b937-001372fd0af2)

high Nessus 插件 ID 54838

未找到变更日志