Drupal 开发团队报告：Aggregator 模块中存在跨站请求伪造漏洞 CVE：CVE-2012-0826

CSRF 漏洞可强制更新聚合器 feed 源。由于某些服务的速度受到限制（如 Twitter 限制为每小时请求 150 次），这可导致拒绝服务。

该问题会影响 Drupal 6.x 和 7.x。OpenID 未验证 SREG 和 AX 中的签名属性 CVE：CVE-2012-0825

一组安全研究人员在某些 OpenID 依赖方执行属性交换 (AX) 的方式中发现一个缺陷。未验证通过 AX 传递的属性是否已签名可允许攻击者修改用户的信息。

该问题会影响 Drupal 6.x 和 7.x。File 模块中的访问绕过 CVE：CVE-2012-0827

当隐私文件与某些字段访问模块一起使用时，File 模块将允许用户下载文件，即使其不具有查看所连接字段的权限。

此问题仅影响 Drupal 7.x。

检测

FreeBSD：drupal -- 多种漏洞 (10720fe8-51e0-11e1-91c1-00215c6a37bb)

medium Nessus 插件 ID 57857

未找到变更日志