在内容管理框架 Drupal 中发现多个漏洞。

- CVE-2015-6658 表单自动填写功能未正确审查请求的 URL，这允许远程攻击者执行跨站脚本攻击。

- CVE-2015-6659 SQL 注释过滤系统可允许用户使用提升的权限在 SQL 注释中注入恶意代码。

- CVE-2015-6660 表单 API 之前未及早执行表单标记验证，允许以不信任的输入运行文件上传回调。这可允许远程攻击者以其他用户的帐户将文件上传到站点。

- CVE-2015-6661 如果将节点添加到用户有权访问的站点中的菜单，那么没有“访问内容”权限的用户可以查看他们无权访问的节点的标题。

- CVE-2015-6665 远程攻击者可通过在加入白名单的 HTML 元素上调用 Drupal.ajax() 来执行跨站脚本攻击。

检测

Debian DSA-3346-1：drupal7 - 安全更新

high Nessus 插件 ID 85726

未找到变更日志