PT-2022-8502 · Drupal · Drupal

Klaus Purer · Publicado 2022-02-11 · Atualizado 2024-03-06 · CVE-2020-13675

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Drupal (versões afetadas não especificadas)

Descrição

O problema diz respeito aos módulos JSON:API e REST/File do Drupal, que permitem o envio de arquivos por meio de suas APIs HTTP. No entanto, esses módulos não executam corretamente todas as validações de arquivos, o que leva a uma falha de contorno de acesso. Um invasor poderia, potencialmente, enviar arquivos que contornassem o processo de validação implementado por outros módulos no site.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Unrestricted File Upload

Improper Access Control

Enumeração de Fraquezas

CWE-434

CWE-284

Identificadores relacionados

BIT-DRUPAL-2020-13675

CVE-2020-13675

DRUPAL-CONTRIB-2021-029

DRUPAL-CORE-2021-008

GHSA-V8WR-R69P-MMWX

Produtos afetados

Drupal

Referências · 10

• https://github.com/drupal/core · Nota
• https://cve.org/CVERecord?id=CVE-2020-13675 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v8wr-r69p-mmwx · Aviso do Fabricante
• https://t.me/cvenotify/26972 · Publicação no Telegram
• https://drupal.org/sa-core-2021-008 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-13675 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-13675 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-drupal-2020-13675 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-13675 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-13675 · Aviso do Fabricante