远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2008-285:02 公告中提及的多个漏洞的影响。

    Drupal 是一款免费的 CMS内容管理系统软件包利用它个人或用户社区可以轻松发布、管理和组织网站上的各种内容。
    此更新解决了以下问题
    CVE-2008-3743 低于 6.4 ] 的 Drupal 6.x 中表单中的多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过未知矢量执行不明操作此漏洞与 (1) 缓存表单和 (2) 具有 AHAH 的表单的标记验证不当有关元素。
    CVE-2008-3744 [ 5.x 之前的 Drupal  5.10 和 6.x 之前的 Drupal 6.4 中存在多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过不明 URL 以管理员身份 (1) 添加或 (2) 删除用户访问规则。
    CVE-2008-3218 ] 低于 6.3 的 Drupal 6.x 中存在多种跨站脚本 (XSS) 漏洞允许远程攻击者通过与以下内容相关的矢量注入任意 Web 脚本或 HTML(1) 无害的标签分类法术语该术语在节点预览页面上未正确处理。和 (2) 不明的 OpenID 值。
    CVE-2008-3220 之前的 Drupal 5.x5.8 和 6.x 之前的 6.3 中的 [] 跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过涉及删除已转换字符串的矢量来执行管理操作。
    CVE-2008-3221 之前的 Drupal 6.x 中的 6.3 跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过涉及 OpenID 标识删除的矢量执行管理操作。
    CVE-2008-3222 贡献的模块在登录事件期间终止当前请求时低于 5.9 的 Drupal 5.x 和低于 [ 6.x 的 Drupal 6.3中存在会话固定漏洞

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 MiracleLinux 3 主機已安裝一個受到 AXSA:2008-285:02 公告中所提及的多個弱點影響的套件。

    Drupal 是一種免費的 CMS (內容管理系統) 軟體套件可讓個人或社群使用者輕鬆發布、管理和組織網站上的各種內容。
    此更新可解決下列問題
    CVE-2008-3743 在 6.4 ] 之前的 Drupal 6.x 中表單內的多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過未知向量執行不明動作此問題與針對 (1) 快取表單和 (2) 具有 AHAH 的表單進行不當的 token 驗證相關元素。
    CVE-2008-3744 在 Drupal 5.x 之前的 5.10 和 6.x 之前的 6.4 中多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過不明的 URL 以系統管理員身分 (1) 新增或 (2) 刪除使用者存取規則。
    CVE-2008-3218 在 6.3 之前的 Drupal 6.x 中多個跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過與 (1) 自由標記分類法術語相關的向量未在節點預覽頁面上正確處理(2) 不明的 OpenID 值。
    CVE-2008-3220 Drupal 5.x 之前的 5.8 和 6.x 之前的 6.3 中的跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過涉及刪除已翻譯字串的向量執行管理動作。
    CVE-2008-3221 在 6.3 ] 之前的 Drupal 6.x 中跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過涉及刪除 OpenID 身分的向量執行管理動作。
    CVE-2008-3222 在登入事件期間提供的模組終止目前要求時 5.x 之前的 5.9 和 6.x ] 之前的 6.3中的 [] 工作階段固定弱點

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 3 主機已安裝一個受到 AXBA:2008-316:03 公告中所提及的多個弱點影響的套件。

  - 在 6.4 之前的 Drupal 6.x 中表單內的多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過未知向量執行不明動作此問題與針對 (1) 快取表單和 (2) 具有 AHAH 元素的表單進行不當的 token 驗證相關。 (CVE-2008-3743)

  - 在 Drupal 5.x 之前的 5.10 和 6.x 之前的 6.4 中多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者劫持 (1) 新增或 (2) 刪除使用者存取規則之要求的系統管理員驗證。 (CVE-2008-3744)

  - 在 6.3 之前的 Drupal 6.x 中多個跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過與 (1) 自由標記分類法術語相關的向量未在節點預覽頁面上正確處理而插入任意 Web 指令碼或 HTML (2) 不明的 OpenID 值。 (CVE-2008-3218)

  - 在 Drupal 5.x 之前 5.8 和 6.x 之前的 6.3 中跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過涉及刪除已翻譯字串的向量執行管理動作。
    (CVE-2008-3220)

  - 在 6.3 之前的 Drupal 6.x 中跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過涉及 OpenID 身分刪除的向量執行管理動作。 (CVE-2008-3221)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程MiracleLinux 3 主机上存在安装的程序包该程序包受到公告 AXBA:2008-316:03 中提及的多个漏洞的影响。

  - 在 6.4 之前的 Drupal 6.x 中表单中的多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过未知矢量执行不明操作此漏洞与 (1) 缓存表单和 (2) 具有 AHAH 元素的表单的标记验证不当有关。 (CVE-2008-3743)

  - Drupal 之前版本的 5.x5.10 以及低于 6.x6.4 的 Drupal 中的多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者针对 (1) 添加或 (2) 删除用户访问规则的请求劫持管理员认证。 (CVE-2008-3744)

  - 6.3 之前的 Drupal 6.x 中的多种跨站脚本 (XSS) 漏洞允许远程攻击者通过与以下内容相关的矢量注入任意 Web 脚本或 HTML(1) 免费标记分类法术语在节点预览页面上未正确处理以及(2) 不明的 OpenID 值。 (CVE-2008-3218)

  - 5.x 之前的 Drupal 5.8 和 6.x 之前的 6.3 中的跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过涉及删除已转换字符串的向量来执行管理操作。
    (CVE-2008-3220)

  - 6.36.x 之前的 Drupal 中的跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过涉及 OpenID 标识删除的矢量执行管理操作。 (CVE-2008-3221)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの MiracleLinux 3 ホストには、AXSA:2008-285:02 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    Drupal は、無料の CMSコンテンツ管理システムソフトウェアパッケージで、個人やユーザーのコミュニティが簡単に Web サイトの多様なコンテンツを公開、管理、整理することを可能にします。
    この更新は、次の問題に対処します
    CVE-2008-3743 ] Drupal 6.x6.4 以前の のフォームにある複数のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が未知のベクトルを介して詳細不明なアクションを実行することが可能です。これは、1キャッシュされたフォームおよび2AHAH を伴うフォームに対する不適切なトークン検証に関連します。要素に関連するベクトルを通じて、可用性に影響を与えることが可能です。
    CVE-2008-3744 Drupal 5.x ] より前の 5.10 および [ 6.4 より前の  6.x における複数のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、詳細不明な URL を介して、管理者としてのユーザーアクセスルールを1追加または2削除することができます。
    CVE-2008-32186.x6.3 より前の Drupal にある複数のクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が、(1) ノードプレビューページで適切に処理されない、解放タグ付けタクソノミーのタームに関連するベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。および (2) 詳細不明な OpenID 値。
    CVE-2008-3220 Drupal 5.x より前の 5.8 および 6.x より前の 6.3 におけるクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、翻訳済み文字列の削除を伴うベクトルを介して、管理操作を実行する可能性があります。
    CVE-2008-3221 Drupal 6.x より前の 6.3 のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、OpenID ID の削除に関連するベクトルを介して管理アクションを実行する可能性があります。
    CVE-2008-3222 Drupal の 5.x5.9 より前の [] および 6.x6.3] より前の のセッション固定の脆弱性。提供されたモジュールがログインイベント中に現在のリクエストを終了する場合

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの MiracleLinux 3 ホストには、AXBA:2008-316:03 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Drupal 6.x6.4 より前の のフォームにある複数のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が未知のベクトルを介して詳細不明なアクションを実行する可能性があります。これは、(1) キャッシュされたフォームおよび (2) AHAH 要素を持つフォームに対する不適切なトークン検証に関連します。CVE-2008-3743

  - [ 5.x より前の 5.10 および 6.x [] より前の 6.4 のDrupal における複数のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、(1) 追加または (2) ユーザーアクセスルールを削除するリクエストに対する管理者の認証を、ハイジャックする可能性があります。CVE-2008-3744

  - 6.3 より前の Drupal 6.x にある複数のクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が、(1) ノードプレビューページで適切に処理されない、タグ付けタクソノミーのタームに関連するベクトルで、任意の Web スクリプトまたは HTML を注入する可能性があります。 (2) OpenID の値が未特定です。CVE-2008-3218

  - 5.x より前の 5.8 および 6.x より前の 6.3 の Drupal におけるクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、翻訳済み文字列の削除を伴うベクトルを介して、管理操作を実行する可能性があります。
    (CVE-2008-3220)

  - 6.3 より前の Drupal 6.x のクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、OpenID ID の削除に関連するベクトルを介して管理アクションを実行する可能性があります。CVE-2008-3221

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Update to 5.10, security fixes: SA-2008-047 (http://drupal.org/node/295053)

  - multiple XSS issues (CVE-2008-3740, CVE-2008-3741) -     unrestricted upload vulnerability (CVE-2008-3742) -     multiple CSRF issues (CVE-2008-3744) Remember to log in     to your site as the admin user before upgrading this     package. After upgrading the package, browse to     http://host/drupal/update.php to run the upgrade script.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote MiracleLinux 3 host has a package installed that is affected by multiple vulnerabilities as referenced in the AXSA:2008-285:02 advisory.

    Drupal is a free CMS (Content Management System) software package that allows an individual or a community     of users to easily publish, manage and organize a wide variety of content on a website.
    This update addresses the following problems:
    CVE-2008-3743     Multiple cross-site request forgery (CSRF) vulnerabilities in forms in Drupal 6.x before 6.4 allow remote     attackers to perform unspecified actions via unknown vectors, related to improper token validation for (1)     cached forms and (2) forms with AHAH elements.
    CVE-2008-3744     Multiple cross-site request forgery (CSRF) vulnerabilities in Drupal 5.x before 5.10 and 6.x before 6.4     allow remote attackers to (1) add or (2) delete user access rules as administrators via an unspecified     URL.
    CVE-2008-3218     Multiple cross-site scripting (XSS) vulnerabilities in Drupal 6.x before 6.3 allow remote attackers to     inject arbitrary web script or HTML via vectors related to (1) free tagging taxonomy terms, which are not     properly handled on node preview pages, and (2) unspecified OpenID values.
    CVE-2008-3220     Cross-site request forgery (CSRF) vulnerability in Drupal 5.x before 5.8 and 6.x before 6.3 allows remote     attackers to perform administrative actions via vectors involving deletion of translated strings.
    CVE-2008-3221     Cross-site request forgery (CSRF) vulnerability in Drupal 6.x before 6.3 allows remote attackers to     perform administrative actions via vectors involving deletion of OpenID identities.
    CVE-2008-3222     Session fixation vulnerability in Drupal 5.x before 5.9 and 6.x before 6.3, when contributed modules     terminate the current request during a login event

Tenable has extracted the preceding description block directly from the MiracleLinux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Drupal Project reports :

A bug in the output filter employed by Drupal makes it possible for malicious users to insert script code into pages (cross site scripting or XSS). A bug in the private filesystem trusts the MIME type sent by the browser, enabling malicious users with the ability to upload files to execute cross site scripting attacks.

The BlogAPI module does not validate the extension of uploaded files, enabling users with the 'administer content with blog api' permission to upload harmful files. This bug affects both Drupal 5.x and 6.x.

Drupal forms contain a token to protect against cross site request forgeries (CSRF). The token may not be validated properly for cached forms and forms containing AHAH elements. This bug affects Drupal 6.x.

User access rules can be added or deleted upon accessing a properly formatted URL, making such modifications vulnerable to cross site request forgeries (CSRF). This may lead to unintended addition or deletion of an access rule when a sufficiently privileged user visits a page or site created by a malicious person. This bug affects both Drupal 5.x and 6.x.

The Upload module in Drupal 6 contains privilege escalation vulnerabilities for users with the 'upload files' permission. This can lead to users being able to edit nodes which they are normally not allowed to, delete any file to which the webserver has sufficient rights, and download attachments of nodes to which they have no access. Harmful files may also be uploaded via cross site request forgeries (CSRF). These bugs affect Drupal 6.x.

The remote MiracleLinux 3 host has a package installed that is affected by multiple vulnerabilities as referenced in the AXBA:2008-316:03 advisory.

  - Multiple cross-site request forgery (CSRF) vulnerabilities in forms in Drupal 6.x before 6.4 allow remote     attackers to perform unspecified actions via unknown vectors, related to improper token validation for (1)     cached forms and (2) forms with AHAH elements. (CVE-2008-3743)

  - Multiple cross-site request forgery (CSRF) vulnerabilities in Drupal 5.x before 5.10 and 6.x before 6.4     allow remote attackers to hijack the authentication of administrators for requests that (1) add or (2)     delete user access rules. (CVE-2008-3744)

  - Multiple cross-site scripting (XSS) vulnerabilities in Drupal 6.x before 6.3 allow remote attackers to     inject arbitrary web script or HTML via vectors related to (1) free tagging taxonomy terms, which are not     properly handled on node preview pages, and (2) unspecified OpenID values. (CVE-2008-3218)

  - Cross-site request forgery (CSRF) vulnerability in Drupal 5.x before 5.8 and 6.x before 6.3 allows remote     attackers to perform administrative actions via vectors involving deletion of translated strings.
    (CVE-2008-3220)

  - Cross-site request forgery (CSRF) vulnerability in Drupal 6.x before 6.3 allows remote attackers to     perform administrative actions via vectors involving deletion of OpenID identities. (CVE-2008-3221)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Update to 6.4, security fixes: SA-2008-047 (http://drupal.org/node/295053) - multiple XSS issues (CVE-2008-3740, CVE-2008-3741) - unrestricted upload vulnerability (CVE-2008-3742) - multiple CSRF issues (CVE-2008-3743, CVE-2008-3744) - upload module privilege escalation (CVE-2008-3745) Remember to log in to your site as the admin user before upgrading this package. After upgrading the package, browse to http://host/drupal/update.php to run the upgrade script.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
284040	MagicLinux 3drupal-6.4-1AXS3 (AXSA:2008-285:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
284040	MiracleLinux 3drupal-6.4-1AXS3 (AXSA:2008-285:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
291396	MiracleLinux 3drupal-6.4-3AXS3 (AXBA:2008-316:03)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	medium
291396	MagicLinux 3drupal-6.4-3AXS3 (AXBA:2008-316:03)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	medium
284040	MiracleLinux 3 drupal-6.4-1AXS3 AXSA:2008-285:02	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
291396	MiracleLinux 3 drupal-6.4-3AXS3AXBA:2008-316:03	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	medium
34132	Fedora 8 : drupal-5.10-1.fc8 (2008-7467)	Nessus	Fedora Local Security Checks	2008/9/10	2021/1/11	medium
284040	MiracleLinux 3 : drupal-6.4-1AXS3 (AXSA:2008-285:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
33935	FreeBSD : drupal -- multiple vulnerabilities (070b5b22-6d74-11dd-aa18-0030843d3802)	Nessus	FreeBSD Local Security Checks	2008/8/19	2021/1/6	medium
291396	MiracleLinux 3 : drupal-6.4-3AXS3 (AXBA:2008-316:03)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	medium
34138	Fedora 9 : drupal-6.4-1.fc9 (2008-7626)	Nessus	Fedora Local Security Checks	2008/9/10	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium