p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in drupal/core · Seite 4

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für drupal/core: 3. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 150

  1. CVE-2022-31042

    Hoch · CVSS 7.5EPSS 1,96%Korrektur verfügbar

    Failure to strip the Cookie header on change in host or HTTP downgrade in Guzzle

    Guzzle is an open source PHP HTTP client. In affected versions the `Cookie` headers on requests are sensitive information. On making a request using the `https` scheme to a server which responds with a redirect to a URI with the `http` scheme, or on making a request to a server which responds with a redirect to a a URI to a different host, we should not forward the `Cookie` header on. Prior to this fix, only cookies that were managed by our cookie middleware would be safely removed, and any `Cookie` header manually added to the initial request would not be stripped. We now always strip it, and allow the cookie middleware to re-add any cookies

    drupal/corePHP
    • Auf 9.2.21 aktualisieren
    • Auf 9.3.16 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2022-29248

    Hoch · CVSS 8EPSS 1,36%Korrektur verfügbar

    Cross-domain cookie leakage in Guzzle

    Guzzle is a PHP HTTP client. Guzzle prior to versions 6.5.6 and 7.4.3 contains a vulnerability with the cookie middleware. The vulnerability is that it is not checked if the cookie domain equals the domain of the server which sets the cookie via the Set-Cookie header, allowing a malicious server to set cookies for unrelated domains. The cookie middleware is disabled by default, so most library consumers will not be affected by this issue. Only those who manually add the cookie middleware to the handler stack or construct the client with ['cookies' => true] are affected. Moreover, those who do not use the same Guzzle client to call multiple do

    drupal/corePHP
    • Auf 9.2.20 aktualisieren
    • Auf 9.3.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2022-24775

    Hoch · CVSS 7.5EPSS 2,48%Korrektur verfügbar

    Improper Input Validation in guzzlehttp/psr7

    guzzlehttp/psr7 is a PSR-7 HTTP message library. Versions prior to 1.8.4 and 2.1.1 are vulnerable to improper header parsing. An attacker could sneak in a new line character and pass untrusted values. The issue is patched in 1.8.4 and 2.1.1. There are currently no known workarounds.

    drupal/corePHP
    • Auf 9.2.16 aktualisieren
    • Auf 9.3.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2022-24728

    Mittel · CVSS 5.4EPSS 1,2%Korrektur verfügbar

    Cross-site Scripting in CKEditor4

    CKEditor4 is an open source what-you-see-is-what-you-get HTML editor. A vulnerability has been discovered in the core HTML processing module and may affect all plugins used by CKEditor 4 prior to version 4.18.0. The vulnerability allows someone to inject malformed HTML bypassing content sanitization, which could result in executing JavaScript code. This problem has been patched in version 4.18.0. There are currently no known workarounds.

    drupal/corePHP
    • Auf 9.2.15 aktualisieren
    • Auf 9.3.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2022-25270

    Mittel · CVSS 6.5EPSS 0,77%Korrektur verfügbar

    CVE-2022-25270

    The Quick Edit module does not properly check entity access in some circumstances. This could result in users with the "access in-place editing" permission viewing some content they are are not authorized to access. Sites are only affected if the QuickEdit module (which comes with the Standard profile) is installed.

    drupal/core drupal/core drupal/corePHP
    • Auf 9.2.13 aktualisieren
    • Auf 9.3.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  6. CVE-2022-25271

    Hoch · CVSS 7.5EPSS 1,27%Korrektur verfügbar

    CVE-2022-25271

    Drupal core's form API has a vulnerability where certain contributed or custom modules' forms may be vulnerable to improper input validation. This could allow an attacker to inject disallowed values or overwrite data. Affected forms are uncommon, but in certain cases an attacker could alter critical or sensitive data.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 7.88 aktualisieren
    • Auf 9.2.13 aktualisieren
    • Auf 9.3.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  7. CVE-2020-13677

    Hoch · CVSS 7.5EPSS 1,22%Korrektur verfügbar

    CVE-2020-13677

    Under some circumstances, the Drupal core JSON:API module does not properly restrict access to certain content, which may result in unintended access bypass. Sites that do not have the JSON:API module enabled are not affected.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.9.19 aktualisieren
    • Auf 9.1.13 aktualisieren
    • Auf 9.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  8. CVE-2020-13676

    Mittel · CVSS 6.5EPSS 0,8%Korrektur verfügbar

    CVE-2020-13676

    The QuickEdit module does not properly check access to fields in some circumstances, which can lead to unintended disclosure of field data. Sites are only affected if the QuickEdit module (which comes with the Standard profile) is installed.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.9.19 aktualisieren
    • Auf 9.1.13 aktualisieren
    • Auf 9.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  9. CVE-2020-13670

    Hoch · CVSS 7.5EPSS 1,11%Korrektur verfügbar

    CVE-2020-13670

    Information Disclosure vulnerability in file module of Drupal Core allows an attacker to gain access to the file metadata of a permanent private file that they do not have access to by guessing the ID of the file. This issue affects: Drupal Core 8.8.x versions prior to 8.8.10; 8.9.x versions prior to 8.9.6; 9.0.x versions prior to 9.0.6.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.8.10 aktualisieren
    • Auf 8.9.6 aktualisieren
    • Auf 9.0.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  10. CVE-2020-13674

    Mittel · CVSS 6.5EPSS 0,46%Korrektur verfügbar

    CVE-2020-13674

    The QuickEdit module does not properly validate access to routes, which could allow cross-site request forgery under some circumstances and lead to possible data integrity issues. Sites are only affected if the QuickEdit module (which comes with the Standard profile) is installed. Removing the "access in-place editing" permission from untrusted users will not fully mitigate the vulnerability.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.9.19 aktualisieren
    • Auf 9.1.13 aktualisieren
    • Auf 9.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  11. CVE-2020-13675

    Kritisch · CVSS 9.8EPSS 1,39%Korrektur verfügbar

    CVE-2020-13675

    Drupal's JSON:API and REST/File modules allow file uploads through their HTTP APIs. The modules do not correctly run all file validation, which causes an access bypass vulnerability. An attacker might be able to upload files that bypass the file validation process implemented by modules on the site.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.9.19 aktualisieren
    • Auf 9.1.13 aktualisieren
    • Auf 9.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  12. CVE-2020-13673

    Nicht bewertetEPSS 0,26%Korrektur verfügbar

    CVE-2020-13673

    The Entity Embed module provides a filter to allow embedding entities in content fields. In certain circumstances, the filter could allow an unprivileged user to inject HTML into a page when it is accessed by a trusted user with permission to embed entities. In some cases, this could lead to cross-site scripting.

    drupal/corePHP
    • Auf 8.9.19 aktualisieren
    • Auf 9.1.13 aktualisieren
    • Auf 9.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  13. CVE-2020-13672

    Mittel · CVSS 6.1EPSS 0,68%Korrektur verfügbar

    CVE-2020-13672

    Cross-site Scripting (XSS) vulnerability in Drupal core's sanitization API fails to properly filter cross-site scripting under certain circumstances. This issue affects: Drupal Core 9.1.x versions prior to 9.1.7; 9.0.x versions prior to 9.0.12; 8.9.x versions prior to 8.9.14; 7.x versions prior to 7.80.

    drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 7.80 aktualisieren
    • Auf 8.9.14 aktualisieren
    • Auf 9.0.12 aktualisieren
    • Auf 9.1.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  14. CVE-2020-13669

    Mittel · CVSS 6.1EPSS 0,74%Korrektur verfügbar

    CVE-2020-13669

    Cross-site Scripting (XSS) vulnerability in ckeditor of Drupal Core allows attacker to inject XSS. This issue affects: Drupal Core 8.8.x versions prior to 8.8.10.; 8.9.x versions prior to 8.9.6; 9.0.x versions prior to 9.0.6.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.8.10 aktualisieren
    • Auf 8.9.6 aktualisieren
    • Auf 9.0.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  15. CVE-2020-13668

    Mittel · CVSS 6.1EPSS 0,79%Korrektur verfügbar

    Access bypass in Drupal Core 8/9

    Access Bypass vulnerability in Drupal Core allows for an attacker to leverage the way that HTML is rendered for affected forms in order to exploit the vulnerability. This issue affects: Drupal Core 8.8.x versions prior to 8.8.10; 8.9.x versions prior to 8.9.6; 9.0.x versions prior to 9.0.6.

    drupal/core drupal/core drupal/corePHP
    • Auf 8.8.10 aktualisieren
    • Auf 8.9.6 aktualisieren
    • Auf 9.0.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  16. DRUPAL-CORE-2022-001

    Nicht bewertetKorrektur verfügbar

    DRUPAL-CORE-2022-001

    jQuery UI is a third-party library used by Drupal. This library was previously thought to be end-of-life. Late in 2021, jQuery UI announced that they would be continuing development, and released a [jQuery UI 1.13.0](https://blog.jqueryui.com/2021/10/jquery-ui-1-13-0-released/) version. As part of this 1.13.0 update, they disclosed the following security issue that may affect Drupal 9 and 7: * CVE-2021-41184: [XSS in the `of` option of the `.position()` util](https://github.com/jquery/jquery-ui/security/advisories/GHSA-gpqq-952q-5327) It is possible that this vulnerability is exploitable with some Drupal modules. As a precaution, this Drup

    drupal/corePHP
    • Auf 9.2.11 aktualisieren
    • Auf 9.3.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  17. DRUPAL-CORE-2021-011

    Nicht bewertetKorrektur verfügbar

    DRUPAL-CORE-2021-011

    The Drupal project uses the [CKEditor](https://github.com/ckeditor/ckeditor4) library for WYSIWYG editing. CKEditor has released [a security update that impacts Drupal](https://ckeditor.com/cke4/release/CKEditor-4.17.0), along with a [hotfix for that update](https://ckeditor.com/cke4/release/CKEditor-4.17.1). Vulnerabilities are possible if Drupal is configured to allow use of the CKEditor library for WYSIWYG editing. An attacker that can create or edit content (even without access to CKEditor themselves) may be able to exploit one or more Cross-Site Scripting (XSS) vulnerabilities to target users with access to the WYSIWYG CKEditor, includi

    drupal/corePHP
    • Auf 8.9.20 aktualisieren
    • Auf 9.1.14 aktualisieren
    • Auf 9.2.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  18. DRUPAL-CORE-2021-005

    Nicht bewertetKorrektur verfügbar

    DRUPAL-CORE-2021-005

    The Drupal project uses the [CKEditor](https://github.com/ckeditor/ckeditor4), library for WYSIWYG editing. CKEditor has released [a security update that impacts Drupal](https://ckeditor.com/blog/ckeditor-4.16.2-with-browser-improvements-and-security-fixes/). Vulnerabilities are possible if Drupal is configured to allow use of the CKEditor library for WYSIWYG editing. An attacker that can create or edit content (even without access to CKEditor themselves) may be able to exploit one or more Cross-Site Scripting (XSS) vulnerabilities to target users with access to the WYSIWYG CKEditor, including site admins with privileged access. For more in

    drupal/corePHP
    • Auf 8.9.18 aktualisieren
    • Auf 9.1.12 aktualisieren
    • Auf 9.2.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  20. CVE-2020-13688

    Mittel · CVSS 6.1EPSS 0,66%Korrektur verfügbar

    CVE-2020-13688

    Cross-site scripting vulnerability in l Drupal Core allows an attacker could leverage the way that HTML is rendered for affected forms in order to exploit the vulnerability. This issue affects: Drupal Core 8.8.X versions prior to 8.8.10; 8.9.X versions prior to 8.9.6; 9.0.X versions prior to 9.0.6.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 8.8.10 aktualisieren
    • Auf 8.9.6 aktualisieren
    • Auf 9.0.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →